Nuance: er waren geen drie miljoen Java-tandenborstels die websites ddos'ten

Miljoenen tandenborstels nemen het internet over! Een ddos-aanval vanuit je badkamer klinkt heel eng, als je verschillende media mag geloven. Maar het verhaal over een botnet van met malware geïnfecteerde tandenborstels lijkt vooral gebaseerd te zijn op foute aannames.

Om welk verhaal gaat het?

Meerdere grote media brachten eerder deze week een opvallend verhaal: miljoenen tandenborstels zouden zijn gehackt en worden ingezet voor een ddos-aanval. Het verhaal werd niet alleen opgepakt door grote algemene nieuwssites met veel bereik zoals The Independent, maar ook door techmedia met een goede reputatie. Het verhaal werd onder andere opgepikt door Tom's Hardware, ZDNet en Golem. Opvallend is dat geen van die media veel details brengt over de aanval, maar dat het wel veel rondgaat.

Het verhaal komt oorspronkelijk van een lokale Zwitserse krant, de Aargauer Zeitung, de krant van het kanton Aargau. Dat verhaal, dat achter een betaalmuur zit, haalt achter een smeuïge kop over 'aanvallende tandenborstels' enkele opmerkelijke voorbeelden aan van 'cybergevaar' van iot-apparaten. In het verhaal komen enkele voorbeelden aan bod die toegeschreven worden aan Stefan Züger, hoofd technologie van de Zwitserse tak van securitybedrijf Fortinet. Die zegt dat 'drie miljoen elektrische tandenborstels die op Java draaien met malware zijn geïnfecteerd'. Die zouden in een botnet zijn opgenomen dat vervolgens de website van een Zwitsers bedrijf heeft aangevallen. Door die ddos-aanval zou de website vier uur offline zijn geweest, wat 'miljoenen dollars aan schade' opleverde.

Tandenborstels met Java

Dat verhaal alleen al doet de wenkbrauwen fronsen. Want tandenborstels die 'op Java draaien'? Dat lijkt vergezocht; welke complexe taken moet een tandenborstel uitvoeren dat zo'n zware programmeertaal gerechtvaardigd is? Zulke tandenborstels zijn bovendien doorgaans niet direct verbonden met internet, maar via bluetooth. Die kunnen dus niet zomaar worden overgenomen in een ddos-aanval.

De krant beschrijft het verhaal, maar geeft daar verder geen details over. Zo is niet bekend op welk bedrijf de aanval zou zijn gericht, of Fortinet de aanval echt heeft gespot, om welk botnet het zou gaan en of er bijvoorbeeld proof-of-conceptcode of samples zijn gedeeld.

Gezien de rest van het artikel lijkt dat niet waarschijnlijk. De krant haalt namelijk nog andere dubieuze claims aan die het aan Fortinet toeschrijft. Het artikel noemt bijvoorbeeld een restaurant dat gehackt wordt via een afbeelding in een e-mail, maar ook dat Fortinet 'een computer zonder enige bescherming aan internet hing' die binnen twintig minuten 'geïnfecteerd' werd. Gooi daar nog wat termen als AI doorheen die ddos-aanvallen nog heftiger maken zonder enige onderbouwing en het is duidelijk dat de Aargauer Zeitung de klok heeft horen luiden, maar niet precies weet waar de cyberklepel hangt.

Vertaalslag

Fortinet zegt inmiddels in een reactie, onder andere aan Tom's Hardware, dat het verhaal inderdaad niet helemaal klopt. "Het voorbeeld van tandenborstels die voor een ddos-aanval worden ingezet, werd tijdens het interview gebruikt als illustratie van een bepaald type aanval. Het is niet gebaseerd op onderzoek van Fortinet of FortiGuard Labs. Het lijkt erop dat door een vertaalslag hypothetische en daadwerkelijke scenario's door elkaar zijn gehaald", schrijft het bedrijf. Inmiddels hebben de meeste grote publicaties het artikel bijgewerkt met een update en ZDNet heeft het artikel zelfs helemaal herschreven, zonder daarbij te vermelden dat het oorspronkelijke artikel de tekst 'No, we're not kidding' bevatte.

Al met al lijkt het verhaal over slimme tandenborstels een uit de context getrokken verhaal dat door sommige media groter is gemaakt dan het in werkelijkheid was. Maar, zoals veel van die media ook schrijven, het idee van botnets die misbruik maken van iot-apparaten is niet nieuw. Botnets zoals Mirai bestaan al sinds 2016 en vormen tot op de dag van vandaag problemen door slecht beveiligde iot-apparaten op te nemen. Maar tandenborstels, laat staan drie miljoen? Zo ver is het nog niet.

Reacties (88)

[Abanu]

Ander probleem met Oral-B iO tandenborstels, ze broadcasten onbeveiligd poetsinformatie over Bluetooth. Heb een Raspberry Pi met Home Assistant, tandenborstels worden automatisch toegevoegd via de Bluetooth integratie. Zie 4 tandenborstels van buren die informatie doorsturen wanneer en hoelang ze tanden poetsen. Screenshot in forum

[ouweklimgeit]

Nou wat een drama Van de buurvrouw kunnen zien hoe laat ze haar tanden poetst. Meeste weegschalen (en legio simpele bluetooth apparaten) werken op dezelfde manier en zolang ze geen persoonsinformatie doorsturen is er bijzonder weinig aan de hand.

Even een edit omdat iedereen het hele punt ontgaat;

En ook als die tandenborstel encryptie had, dan zou hij nog steeds pas beginnen met zenden op het moment dat iemand zijn tanden gaat poetsen. Het hele encryptie argument gaat dus helemaal niet op, er wordt nu een link gelegd tussen een bluetooth signaal en dat daarmee de 'beweging of aanwezigheid' van iemand is vast te stellen en daar verandert encryptie helemaal niets aan. Er begint gewoon een bluetooth apparaat te zenden (met een bepaalde MAC range die te koppelen is aan de bluetooth apparaten van fabrikant x)

Het enige waar encryptie voor zou zorgen is dat je niet kunt zien hoe hard iemand poetst.

[Reactie gewijzigd door ouweklimgeit op 23 juli 2024 23:57]

[Abanu]

Dat er andere apparaten zijn die dit ook doen is natuurlijk geen argument dat het dus oké is. Meer een Whataboutism. Daarnaast spreek jou voorbeeld de reactie tegen, een weegschaal geeft heel persoonlijke data. Mijn weegschaal meet gewicht, lichaamsvet en BMI waar voor de berekening de geboortedatum wordt opgeslagen. Lijkt me absoluut niet okay dat dit zonder toestemming/zonder versleuteling rondgestuurd wordt. Daarnaast is het leefpatroon dat uit poetsdata kan worden afgeleid ook persoonlijk. Tijden voor slapen en wakker worden en informatie of iemand een weekendje weg is of met vakantie is zo te achterhalen.

[Abanu]

Het aloude 'ik heb niets te verbergen' argument. Los daarvan zou je meer mogen verwachten van een A-merk dat tandenborstels verkoopt van 300 euro dan van een noname AliExpress bluetooth device. En zo moeilijk of duur is het ook niet, ik heb Xiaomi thermometers van 8 euro die wel pairen met een key. Dat boeit me niet maar zou gewoon de norm moeten zijn.

[naarden 4ever]

Een tandenborstel gebruikt iedereen ongeveer 0-15 min voordat ze naar bed gaan 's avonds, en 0-15 min voordat ze het huis verlaten 's ochtends.

Kan hele relevante informatie zijn voor een inbreker. En die informatie krijg je dus door met je telefoon even langs een huis te lopen.

[ouweklimgeit]

En ook als die tandenborstel encryptie had, dan zou hij nog steeds pas beginnen met zenden op het moment dat iemand zijn tanden gaat poetsen. Het hele encryptie argument gaat dus helemaal niet op, er wordt nu een link gelegd tussen een bluetooth signaal en dat daarmee de 'beweging of aanwezigheid' van iemand is vast te stellen en daar verandert encryptie helemaal niets aan.

Het enige waar encryptie voor zou zorgen is dat je niet kunt zien hoe hard iemand poetst.

[kftnl]

Moeten ze met de telefoon gedurende de hele tijd langs het huis blijven staan... als ze dat doen kunnen ze misschien beter een blik werpen op je voordeur in plaats van gaan klooien met bluetooth antennes.

Snap ik trouwens goed dat jij op een dag dat je thuisblijft je tanden niet poetst?

[StackMySwitchUp]

O? en wat als de buurvrouw een stalker heeft die wil weten hoe laat ze naar bed gaat zodat diegene even lekker kan gluren (of erger)
De tandenborstel-data op zich is geen gevoelige data (tenzij je gevoelige tanden hebt) maar gecombineerd met meer gegevens kan het voor kwade doeleinden gebruikt worden. het is zeker geen reden om maar gewoon alles onbeveiligd te doen. hoe moeilijk is het om even een knopje in te moeten drukken tijdens het pairen? Ook al staat er een crappy encryptie op, het is íets.

[NetAmp]

😂 "...gevoelige tanden..."

[Mizitras]

Met een stralende glimlach naar bed bedoel je?

[infraskil]

[Aurora]

Small nuance. Ze worden niet automatisch toegevoegd aan jouw instance. Er wordt een discovery getoond, jij dient zelf te pairen. Maar inderdaad zonder pincode of andere vorm van authenticatie of validatie.

[Savantas]

Lastig lezen als er in het artikel A.I. wordt aangehaald en er dan een zin begint met 'Al met al lijkt het verhaal'.
Snel mijn custom css op Times zetten (of een geschiktere serif als Cambria oid) ...
Hier een snippet ervoor: body-lettertype serif

(PS. kunnen de animtaed smileys eens aangepast worden? Met een dark skin zie ik redelijk wat witrandjes, en de koe is heel onduidelijk zo...)

[Reactie gewijzigd door Savantas op 23 juli 2024 23:57]

[GarBaGe]

Java op mijn tandenborstel?
Dan is de accu al leeg na 2 minuten tandenpoetsen
Anyway, mijn tandenborstel heeft al wel BT met een app voor mijn telefoon.
Ik denk dat het niet lang meer duurt voordat er Java op mijn tandenborstel draait.

[bzzzt]

Dan is de accu al leeg na 2 minuten tandenpoetsen

1999 belde, ze willen hun grappen over Java terug.

[david-v]

het is nog steeds heel hyp hoor

[Argantonis]

Altijd handig als mensen grappen over hoe slecht Java zou zijn maken, dan kan je ze meteen vast afschrijven als professionele softwareontwikkelaars die weten hoeveel het gebruikt wordt.

[lilmonkey]

PHP werd en wordt ook heel veel gebruikt, en toch is het objectief een (idiote combinatie van) een bizar slecht ontworpen taal en een bizar slecht ontworpen framework. Dat een goede programmeur er goede code in kan schrijven doet daar niets aan af — in een fatsoenlijke taal/framework zou diezelfde programmeur veel sneller tot datzelfde goede resultaat komen, en met veel minder frustratie.

(Mijn reactie gaat puur over het 'wordt veel gebruikt' argument, ik probeer niet te impliceren dat Java slecht is.)

[Argantonis]

Dat is waar, maar de grappen hier gingen over hoe sloom/log/inefficient het wel niet zou zijn, niet over het ontwerp van de taal zelf. En bij zulke grappen snapt men gewoon niet waar het om draait bij complexere softwareprojecten, en waar de daadwerkelijke tijd wordt gespendeerd in een gemiddelde applicatie, et cetera.

[FreezeXJ]

Ik weet ook hoeveel PHP of Javascript gebruikt wordt, en toch maak ik er grappen over. Ook grappen over Java kan ik best waarderen, als Java-dev

[Frame164]

En dan te bedenken dat die mensen alleen al door het plaatsen van zo'n bericht veel systemen hebben gebruikt die Java gebruiken....

[ChefA]

Onderbouwing?

[beerse]

Pas maar op dat Oracle niet belt omdat je niet aan de licentie voorwaarden voldoet.

[!GN!T!ON]

Waarom ze zijn nog gewoon relevant toch?

[Verwijderd]

JVM, IL, who gives. Hetzelfde principe is gewoon nog relevant en nog even grappig.

[MicaLovesKPOP]

Ik wist niet eens dat dit bestond, maar eigenlijk verbaast het me achteraf helemaal niet.

Ik ben pas net over op een (domme) electronische tandenborstel van 'Philips'...

[Pathogen]

Tsja.. Hoe is die BT implementatie geschreven? Misschien wel met behulp van Java

[ACM]

Vziw is Java juist best groot in die wereld. Ook op Android zijn veel van de apps op Java gebaseerd (of Kotlin, wat dan weer op dezelfde JVM draait). Je suggereert hier dat het per definitie een heel inefficiënte taal is en/of applicaties of devices die dat gebruiken dat zijn, maar waar is dat op gebaseerd?

[Reactie gewijzigd door ACM op 23 juli 2024 23:57]

[jaapzb]

Het zal je verbazen waar allemaal java in zit. Er is zelfs een officieel Java platform voor gebruik in SIM-kaarten.

[ilaurensnl]

Kijk, dat is mooi dan kun je nog 1 volledige poetsbeurt doen.

[Jemboy]

Wel lekker, tandenpoetsen met een koffiesmaakje
Hoop weer niet dat de regering binnenkort tandenborstel smaakjes gaat verbieden!

[Aldy]

Hoop weer niet dat de regering binnenkort tandenborstel smaakjes gaat verbieden!

Waar maak je je druk over? Krijgen we straks een volgende illegale circuit, waar ze tandenborstels met smaakjes verkopen.

[jozuf]

er bestaat ook zoiets als JavaME. Lichtgewicht variant van Java bedoeld voor dergelijke devices.
Ik heb in de tijd van Nokia 3310's nog apps geschreven op J2ME. Volgens mij was de spec minimaal 128Kb RAM en nog wat andere rand zaken.
Er was iets van een framework, maar je mocht eigenlijk alles zelf doen, vrij low level. Leuke uitdagingen waren dat.

[Reactie gewijzigd door jozuf op 23 juli 2024 23:57]

[elmuerte]

Geen probleem met Java Card of JavaME. Dat werkte 25 jaar geleden al zonder moeite op hardware met mindere specs.

[Peenutzz]

Het eerste en enige wat ik hierbij denk is: Wat moet een tandenborstel nou met internet, of een app, of bluetooth? Je reinste flauwekul, bedacht om mensen zoveel mogelijk geld uit de zakken te kloppen met functies die helemaal niks toevoegen.

[CAPSLOCK2000]

Het eerste en enige wat ik hierbij denk is: Wat moet een tandenborstel nou met internet, of een app, of bluetooth? Je reinste flauwekul, bedacht om mensen zoveel mogelijk geld uit de zakken te kloppen met functies die helemaal niks toevoegen.

Dat dacht ik ook maar ik ben van mening veranderd. Ik weet best hoe vaak en hoe lang ik mijn tanden moet poetsen maar in het echte leven gaat het niet altijd zoals het zou moeten. Ik ben maar een zwak mens.

Zelfs een simpele klok helpt mij al enorm om eerlijk te zijn tegen mezelf. Het helpt ook om te weten hoe lang ik nog moet, mensen houden "klusjes" langer vol als het eindpunt duidelijk in zicht is, of als je niet zelf hoeft te beslissen maar gewoon gedachteloos door kan werken tot het signaal komt dat het goed is. Als je zelf moet beslissen of het goed is dan is het heel menselijk om te snel te tevreden te zijn.
Ik heb tegenwoordig een wat slimmere tandenborstel die met simpele piepjes hints geeft over hoe lang en waar ik nog moet poetsen. Mij helpt dat en mijn tandarts is er ook blij mee.

Als nerd kun je me eindeloos fascineren met mooie grafiekjes, het kan heel stimulerend zijn om te proberen het lijntje net 1 pixel hoger te krijgen. Ik zou dus best een nog slimmere tandenborstel wil met alle toeters en bellen. Een internetverbinding is niet nodig, liever niet zelfs, maar ik zou er best een willen die ik zelf kan uitlezen en aansturen.

Dit soort tandenborstels zijn afschuwelijk duur voor wat je krijgt, die chip die er in zit zal echt niet meer dan een paar euro kosten, dat er leveranciers zijn die meer dan 300 euro voor een slimme tandenborstel durven te vragen is belachelijk. Dat is mij té duur, maar enkele tientallen euro's heb ik er graag voor over, als ik per bezoek 5 minuten minder lang bij de tandarts hoef te zijn dan betaalt het zichzelf snel terug.

Het is misschien heel kinderachtig dat deze volwassen kerel zich laat motiveren door het verdienen een virtueel sterretje, maar het werkt wel.

[Reactie gewijzigd door CAPSLOCK2000 op 23 juli 2024 23:57]

[Peenutzz]

Mijn elektrische tandenborstel stopt om de 30 seconden, na 4 keer heb je de minimale 2 minuten eropzitten, geen bluetooth of app voor nodig. En maar 15 euro.

[moonlander]

Maar minimaal is niet altijd optimaal. Misschien zet je de tandenborstel aan, en begin je de laatste 30 sec te poetsen.... het is maar een domme vergelijking, maar je kan dat allemaal wel mooi bijhouden in een app als je wilt.

[Bosjvd2]

Dan ben je daarna een tijdje bezig met de badkamer schoonmaken omdat er overal tandpasta heen geslingerd is

[Peenutzz]

Hij doet dat elke 30 seconden, al laat je hem een uur aan staan. Je kunt wel 'halverwege' zo'n periode beginnen, maar dan ga je dus gewoon iets langer door. Geen AI of internet voor nodig

[CAPSLOCK2000]

Mijn elektrische tandenborstel stopt om de 30 seconden, na 4 keer heb je de minimale 2 minuten eropzitten, geen bluetooth of app voor nodig. En maar 15 euro.

Met stopwatch van je telefoon kan dat ook, daar heb je geen "dure" tandenborstel van 15 euro voor nodig.
Het kan, maar de meeste mensen doen het in praktijk niet. Dit soort features in je tandenborstel inbouwen zorgt er voor dat mensen het wél doen.

Met voldoende zelfdiscipline is het allemaal niet nodig... maar die heb ik niet, net als de meeste mensen.

Maar die exporteert geen sensordata waar je grafiekjes mee kan maken of kan bijhouden waar je al gepoetst hebt. Mijn huidige tandenborstel kan dat ook niet maar ik bij de volgende wil ik dat wel.

En maar 15 euro.

Ik bespaar liever op de rekening van de tandarts dan op de prijs van een tandenborstel, dat is de verkeerde optimalisatie. Zelfs als de tandarts goedkoper is dan heb ik liever een goed gebit.
Voor de duidelijkheid, 300 euro voor een tandenborstel is belachelijk, maar als ik voor 10 euro extra een tandborstel met bluetooth* kan krijgen dan heb ik dat er graag voor over.

* onhandige naam voor een tandenborstel

[Peenutzz]

Voor een tientje meer is er inderdaad nog wat voor te zeggen, maar voor de prijs die ze ervoor durven vragen is het gewoon een belachelijk iets, en de bijbehorende marketing doet alsof je niet zonder kunt.

Schaamteloos geknipt en geplakt van bolpuntcom:

-Wittere tanden vanaf dag 1 met een iO-tandartsgeïnspireerde ronde opzetborstel door oppervlakteverkleuringen te verwijderen
-Maximaliseer uw dekking volledig dankzij onze meest innovatieve ai-positiedetectie die uw tanden volgt op alle 3 de oppervlakken van uw tanden
-Houd uw mond langer gezond, sluit u aan bij 8 van de 10 mensen die in 1 week beter gingen poetsen dankzij gepersonaliseerde begeleiding door iO
-Ervaar het slim poetsen van Oral-B: 7 poetsstanden en gekleurd interactief display om je poetstijd bij te houden en je te prijzen voor een geweldige poetsbeurt
-Poets onderweg zonder moeite met de oplaadreisetui en de 3h-snellader, het display houdt altijd het batterijniveau bij
-Bescherm uw tandvlees met iO poetsdruksensor van Oral-B, de enige die aangeeft of u te hard, te zacht of precies goed poetst voor een effectieve en veilige reiniging

En dat voor maar 239 euro. Idioot, als je het mij vraagt. Gelukkig word je wel geprezen voor een geweldige poetsbeurt.

[comecme]

Dat doet de tandenborstel niet, maar een app op je telefoon. Die kan via de camera va de telefoon kijken hoe goed je poetst.

[FilipSP]

Als ik bovenstaande lees ben ik overtuigd dat @Peenutzz gelijk heeft.....het is je reinste flauwekul al heeft het klaarblijkelijk volgelingen.

[Osiummaster]

IOT en Java zijn altijd altijd een leuke combinatie

[cracking cloud]

De S in IOT staat voor security

[The Zep Man]

Oh, wat gepast. Dat is net als de S in "legacy and embedded Java".

Helaas wordt bij de vraag "hoe kunnen wij dit het beste verbinden met onze klauwt?" vaak het antwoord "niet" vergeten of genegeerd.

[Reactie gewijzigd door The Zep Man op 23 juli 2024 23:57]

[SkiFan]

Zeg nooit nooit. Zo hangt de volgende generatie van Hoymiles inverters direct via Wifi aan internet en het is laatst iemand gelukt om in het management platform in te breken waarmee hij dan andere inverters dan die van zichzelf van andere firmware kon voorzien.

Edit: Link: https://www.heise.de/news...-Miles-Cloud-9319500.html

[Reactie gewijzigd door SkiFan op 23 juli 2024 23:57]

[MicaLovesKPOP]

Het artikel eindigt toch met "zo ver is het nog niet"? Ik vond het juist zeer apt.

[Mark_88]

Nuance-verhalen zijn altijd leuk. De Argos Medialogica van Tweakers.

[IrBaboon79]

Ach, als je bedenkt met hoeveel (goedkope en waarschijnlijk niet onderhouden) apparatuur we tegenwoordig online vertegenwoordigd zijn - elke tandenstoker, wc-rol, wasmachine, gloeilamp, etc…z’n eigen website met account - dan klinkt dit toch helemaal niet raar?

[haam]

Daarom kan bij mij niet alles wat aan de router hangt, zonder meer het internet op (zoals mn NAS, shelly devices en robot sucker)

[Alxndr]

Dat geeft je toch te denken over het niveau van de tech redacties bij die grote gerenommeerde sites.

Niet alleen dat het verhaal zelf al onwaarschijnlijk is, maar ook dat het dus klakkeloos wordt overgenomen. Wat een amateurisme.

[Frame164]

Ik denk niet dat het met het niveau te maken heeft (de meesten zullen het echt wel snappen en weten) maar de sites moeten genoeg bezoekers en clicks krijgen om te overleven. Zolang we niet willen betalen voor nieuws moet het op deze manier.

[Alxndr]

Jij denkt serieus dat ze bewust hun reputatie te grabbel gooien, enkel voor wat meer views/clicks?

[CivLord]

Dat niveau is wel in orde. Het ligt meer aan hoe zo'n redactie werkt.
Er is tegenwoordig nauwelijks nog droog brood met nieuwssites te verdienen. En waar tante Truus op de Telegraaf.nl een bak met reclames te verstouwen krijgt, weet de gemiddelde bezoeker van een tech-site veel beter hoe die reclames te verbergen zijn, waardoor de inkomsten van tech-sites een stuk minder zijn per bezoeker, terwijl er ook nog eens minder bezoekers komen.
Er is een beperkt aantal betaalde redactieleden die onderzoek doen, de grote nieuwsberichten schrijven en naar de evenementen gaan. De rest van de artikelen, bedoeld om het voor bezoekers interessant te houden om regelmatig terug te komen om het nieuws te checken, wordt voor een groot deel door stagairs, trainees en laagbetaalde freelancers geschreven en vluchtig door een junior redacteur nagelezen voordat het gepubliceerd wordt.
Elk verhaal door een deskundige en ervaren journalist/ redacteur te laten schrijven en controleren is eenvoudigweg niet meer te betalen voor nieuwssites.

[Rembert]

Zowel Stefan Züger als de Aargauer Zeitung scoren wel hoog op de schaal van Rianne.

[screenager]

Eerste wat in mijn opkwam inderdaad, Rianne is that you

[Alxndr]

? Wiens schaal?

[Rembert]

Een zeker persoon dat zich onsterfelijk belachelijk heeft gemaakt in onder meer de hacker scene.

[Alxndr]

Je bedoelt Rianne (van Rijbroek)?