Beveiligingsbedrijf geeft baan aan maker Sasser en Netsky

Een Duits beveiligingsbedrijf heeft de schrijver van de Sasser en de Netsky wormen een baan aangeboden. Securepoint wil virusmaker Sven Jaschan een tweede kans bieden. Het bedrijf heeft door dit aanbod veel kritiek gekregen van een aantal anti-virusbedrijven. Virusschrijvers zouden een verkeerd signaal krijgen door deze actie. Tien jaar geleden hebben virusmakers tevergeefs geprobeerd om een baan te krijgen. Bedrijven ging er toen niet op in, ze wilden niet het signaal afgeven dat het schrijven van een virus beloond wordt met een baan in de IT-beveiliging.

Securepoint geeft echter ter verdediging aan dat het meer kennis verschaft. Een andere specialist beweert dan weer dat "de kunde om een virus te schrijven sterk inferieur is aan de kunde die nodig is om een antivirusprogramma te maken", aldus Peter Simpson van beveiligingsbedrijf Clearswift. De jonge virusmaker heeft spijt: "Jaschan weet wat hij gedaan heeft en zal het niet opnieuw doen, hij wil een normale baan als programmeur en een normaal leven", aldus Lutz Hausmann van Securepoint.

Reacties (63)

[StGermain]

Zucht, nu krijgen we weer een vloedgolf aan scriptkiddies die hopen later veel geld te verdienen bij een antivirusfirma...

Dit is weer eens een geval van "good guys finish last" zeker?

@ThomAAAT: Ik weet niet of deze jongen een scriptkiddie is, wat ik zeg is dat er heel wat scriptkiddies schade gaan aanrichten onder het motto "later ga ik veel geld verdienen met mijn l33t sk1llz"...

[memphis]

Was van de week nog in het nieuws dat varianten van de NetSky virus een open sollicitatie in zich hadden....

[L0g0ff]

Hoe kun je deze jongen nou een scriptkiddie noemen? Volgens mij is hij gewoon een programmeur en is een script kiddy nog steeds iemand dat de source van de programmeur aanpast.

En laten we wel wezen; die wormen zaten goed in elkaar

[miw]

Het is altijd riskant om een bewezen virus ontwikkellaar in dienst te nemen. De man heeft aangetoond dat hij niet over voldoende normbesef beschikt en zelfs niet eens de gevolgen van zijn kwalijke activiteiten heeft overwogen. Terwijl dit soort aktiviteiten toch fors in de publiciteit komen. Nu steeds meer virus schrijvers banden met spammers en andere ongure types blijken te hebben, is het aannemen van een voormalige virus schrijver een flink risico voor een beveiligingsbedrijf.
Zo'n bedrijf moet het hebben van vertrouwen in zijn producten en dus indirect van vertrouwen in zijn medewerkers (ze willen hem software laten schrijven). Dit is dus een domme zet die kennelijk is ingegeven door het motto: "ook slechte publiciteit is publiciteit".

[RetepV]

Het probleem is natuurlijk dat met de huidige mogelijkheden m.b.t. media niemand meer weet te beoordelen welke bedrijven nu betrouwbaar, of ueberhaupt bonafide zijn.

[the_stickie]

hoort die man eigenlijk niet in de gevangenis te zitten

[Verwijderd]

Old news in deze sector

Het is echt weer een algemene veronderstelling dat een virus schrijven, u additionele kennis verschaft hoe een AV scanner werkt.

Nudat ik al een tijdje in die wereld werk kan ik u voor 100% garanderen dat dit niet het geval is. Virusschrijvers zijn geen AV schrijvers. Dit staat echt los van elkaar. Er is geen 1 groot AV bedrijf die het zich kan permitteren om zo iemand aan te nemen. Het zijn de kleinere, die zo publiciteit willen maken natuurlijk. En ja dat is hun ook gelukt bij deze, want hiervoor had ik nog nooit van dit bedrijf gehoord.

Het bedrijf waar hij nu werkt is een bedrijf dat appliances biedt met de medewerking van een aantal AV vendors zoals sophos, trendmicro, ... .
Binnen deze wereld wordt er al druk gespeculeerd dat Sophos van plan is zijn medewerking terug te trekken wanneer zo iemand werkzaam is in deze sector.

Er is geen een groot bedrijf dat het zich kan permitteren dat een virusschrijver toegang heeft tot code van een AV bedrijf. Volgens mij is dit een kwestie van tijd alvorens deze 2 giganten in de AV sectoren hun medewerking terugtrekken. Ik zou als bedrijf nooit een product willen, waarvan ik weet dat een virusschrijver hier mee aan ontwikkeld heeft. Kwestie van de kat bij de melk te plaatsen.

Zou jij 100% garantie kunnen bieden, wanneer zo'n persoon toegang krijgt tot code van scanners, dat hij nadien nooit meer virussen gaat schrijven en nog veel beter weet hoe scanners functioneren ?

[Verwijderd]

In principe zou het kennen van de de interne werking van de virusscanner geen invloed moeten hebben op het wel of niet beter kunnen functioneren van het virus. Het is mischien juist wel een goed idee om deze jongen concept virussen te laten schrijven die de virusscanner proberen te omzijlen of uitschakellen, komen zwakheden sneller naar aan het licht.

[Verwijderd]

@ imagica

Ik vind bij hackers dat die grens een stuk soepeler is dan bij virus schrijvers.

Er zijn nog hackers die hun kennis gebruiken om ethical hacks / penetration testing te doen.

Een virusschrijver heeft enkel de bedoeling kwaad te doen want er is geen 1 situatie waarbij je het schrijven van virussen kan omschrijven als iets nuttig. Wat wel gezegd kan worden van ethical hacking enz... .

Zoals ik al in men vorig antwoord zei, is dat een virus schrijven echt wel een andere wereld is dan de producten te schrijven die het gaan detecteren. Het enige wat de virusschrijver weet is hoe hij het eventueel kan omzeilen ( de scanner ).
Dit is gewoon een klein bedrijfje dat zo in de belangstelling komt met een mediastunt. Maar ik zou nooit daar een product van kopen.

Let op men woorden. Als die kerel daar blijft werken, dan trekken de grote AV bedrijven zich terug uit dat bedrijf.

[imagica]

Een virusschrijver heeft enkel de bedoeling kwaad te doen want er is geen 1 situatie waarbij je het schrijven van virussen kan omschrijven als iets nuttig. Wat wel gezegd kan worden van ethical hacking enz...

Hoe je het beestje ook noemt, het is en blijft allebei strafbaar en zijn beide vormen dus uitgevoerd door criminelen.

Wie verteld mij dat iemand netwerken hacked middels ethical redenen, en niet om zo ook een baan te verkrijgen in de security wereld ? Het is en blijft een crimineel en die moeten we nimmer (meer) vertrouwen lees ik in de opmerkingen hierboven...

En kom aub niet aan met de opmerkingen, de hackers die ethisch te werk gaan maken niets kapot, dat is bullshit aangezien het imago van een bedrijf wiens netwerk gehacked wordt aanzienlijke schade oploopt en zelfs samenwerkings verbanden met andere bedrijven kan mislopen/opzeggen hierdoor omdat hun netwerk niet veilig zou zijn.

Klopt, heeft te maken met de verhouding tussen inspanning en resultaat: Mitnick: grote inspanning, veel eigen denkwerk, lastig reproduceerbaar, klein resultaat. Jaschan: kleine inspanning, kleine hoeveelheid denkwerk, makkelijk reproduceerbaar, veel groter resultaat (helaas).

Hoe kom je erbij dat virussen schrijven een kleine inspanning heeft ? Denk je dat Microsoft etc. zelf helemaal uit de doeken doet welke bugs er allemaal zijn en hoe deze geexploit kunnen worden ? zelfs op de security advisory boards worden de echte memory adressen en buffers etc. gefaked om misbruik te voorkomen. Dit houd in dat je A: de kennis moet bezitten om te weten waar je dit moet zoeken. b: je ook de kennis moet bezitten hier alsnog misbruik van te kunnen maken. c: aardig moet kunnen programeren.

Volgens mij 3 eisen die een goede hacker OOK moet bezitten (ethical of niet ...)

Tevens bezitten deze mensen vaak ook nog een zeer goede kennis van het Windows OS , waardoor een bedrijf met deze kennis zijn software nog better kan laten samenwerken met Windows, een veel gehoorde klacht van software makers die eisen dat het OS meer openheid krijgt.

[Verwijderd]

Ik geef je volledig gelijk dat het beide illegaal is.

Als medewerker van een security bedrijf, kan ik wel zeggen dat zo'n security audit / penetration testing niet inhoudt om de gevonden holes te gaan misbruiken door ze te exploiten. Integendeel, wat zo'n audit inhoudt is deze holes te vinden en te rapporteren. Ook rapporteren we dingen, die we niet secure vinden, maar die op dit moment niet exploited kunnen worden. Hierdoor kan de klant zich nog beter beveiligen en bewust zijn wat er eventueel kan gebeuren als hij het niet doet. Want voor beveiliging wordt vaak nog steeds een te klein budget voorzien bij bedrijven.

Puur hacking, zonder toelating van het bedrijf is dus niet wat ik bedoelde.

Ik heb nooit beweerd dat een virusschrijver geen kennis heeft van wat hij doet. Systemen exploiten door buffer overflows te schrijven is niet vanzelfsprekend. Maar het is wel iets wanneer je het een aantal keren schrijft vaak niet zo moeilijk is. Ik weet genoeg plekken waar je zo de exploits kan downloaden (en die daadwerkelijk werken).
Heb er ook al geschreven om te testen of een security oplossing daadwerkelijk zijn ding doet. Mits een goede c++ / asembler kennis geraak je al heel ver.
Mijn punt is, dat een virusscanner totaal anders geschreven wordt dan een virus. Het is appelen met peren vergelijken.

In alle geval vind ik een virusschrijver in een bedrijf dat AV oplossingen verkoopt zeker geen goede reclame voor dit bedrijf. In de AV wereld wordt er echt met veel verontwaardiging gereageerd.

[rickiii]

Deze vent mag van mij best een goed betaalde baan aannemen om de schulden af te lossen die hij gemaakt heeft door deze virii los te laten.

Een virus schrijven dient niet beloond te worden, maar hij kan in elk geval met deze baan zijn schade weer een beetje goed maken.

[kodak]

Dat een baan voor hem goed is om zijn schulden af te lossen lijkt me logisch. Maar dat kan ook heel goed in een andere sector. Ik vind dat hij hiermee teveel beloond wordt voor zijn daden (zijn doel was iets in de it te bereiken en dat heeft hij dan nu voor elkaar gekregen met het maken van virussen en zeer veel schade aan te richten) en het een totaal verkeerd signaal geeft naar al die andere mensen die weinig op hebben met het gevolg van hun daden als ze er maar beter van worden en goed kunnen programmeren.

Voor het bedrijf zijn er zat kandidaten die net zo goed zijn als deze jongen, maar wel weten wat wel en niet mag. Geef die dan de kans om in deze sector werk te verrichten. Lijkt me veel eerlijker.

[kamerplant]

Straks krijg je dat bij het GWI voor werklozen, verplicht een virus maken, diegene die het meest succesvol is krijgt de job,

[Verwijderd]

Deze jongen kan wormen schrijven, en goed ook! Dat is precies de kennis die je nodig hebt om een goede virusscanner of firewall te maken die die wormen tegen kan houden. Erg verstandige zet dus om 'm aan te nemen.

[blobber]

Mooi, dan kan de Politie de gevangenissen mooi leeghalen, personeel zat, want wie lost er nu het beste een moordzaak op dan een moordenaar?Goed plan!

[wildhagen]

Hij kan goed copy/pasten, want hij heeft gewoon de exploit-code die openbaar was (stond op bepaalde minder frisse sites) gecopy/pasted in een exectuable en daar een beetje bijgeschreven om de worm zichzelf te laten verspreiden...

Nee, echt goede copy/paster.. uhm, ik bedoel, programmeur ben je dan hoor. Wow, i'm impressed.

[Verwijderd]

Ben ik het niet mee eens.

Het enige dat overeenkomt zijn skills om beveiligingslekken te kunnen vinden. En dan heb je er voor een virus maar eentje nodig (of iets dat al gepubliceerd is) en dat kan ook op goed geluk eens lukken. Hoeft dus weinig over de echte skills te zeggen.

Een virus is verder compleet verschillend van een antivirus programma:
- virus wil onzichtbaar zijn, antivirus niet
- virus moet zichzelf kopieren, antivirus niet
- virus wil dingen kapotmaken, antivirus repareren
- etc. etc.

Ik vind de volgende opmerking in het artikel veel meer van toepassing (en zou die opmerking een +1 inzichtvol geven )

Een andere specialist beweert dan weer dat "de kunde om een virus te schrijven sterk inferieur is aan de kunde die nodig is om een antivirusprogramma te maken"

(alleen het 'inferieur' kun je over twijfelen, het is gewoon iets heel anders)

(edit: overigens is het belangrijkste dat dit inderdaad een verkeerd signaal naar buiten stuurt. Net alsof je terroristen hun zin geeft als ze mensen gijzelen. Dat kun je gewoon niet maken)

[Verwijderd]

Tja, hoe zeg je dat ook al weer, "If you want to really secure your home, don't hire a locksmith, hire a burglar and pay him well.".

[Verwijderd]

Als ik me niet vergis is die jongen gewoon veroordeeld door de rechtbank. Waarom zou hij daarna niet de mogelijkheid mogen krijgen om zijn leven te beteren en het rechte pad op te gaan?

Als je een boete voor te hard rijden krijgt, hoor je toch ook niemand zeggen dat je nooit meer auto mag rijden ?

[Verwijderd]

Als je een boete voor te hard rijden krijgt, hoor je toch ook niemand zeggen dat je nooit meer auto mag rijden ?

Nee maar je bied die man dan toch ook niet een baan als F1 coureur aan ?
Dit is simpelweg een beloning voor die virusschrijver en zal alleen maar meer mensen aansporen virussen te schrijven.

[Verwijderd]

Nee maar je bied die man dan toch ook niet een baan als F1 coureur aan ?
Dit is simpelweg een beloning voor die virusschrijver en zal alleen maar meer mensen aansporen virussen te schrijven.

Dat hangt ervanaf hoe hard hij rijd toch?.

[Parlor_Inventor]

En zonder virusschrijvers en hackers zouden beveiligingsbedrijven niet bestaan. Het doel van die bedrijven is gewoon een klein beetje dubbel (ik hoop dat het ze niet lukt om dit aan hun klanten uit te leggen).

[Verwijderd]

Dit is simpelweg een beloning voor die virusschrijver en zal alleen maar meer mensen aansporen virussen te schrijven.

En spoort softwarebedrijven aan om veiligere software te produceren.

[imagica]

Wat een berg onzin lees ik hier weer over hoe slecht het wel niet is zo iemand aan te stellen omdat hij een keer fout is geweest.

Waren het niet bedrijven als cisco en weet ik wel niet welke zo'n beetje alle beveiligingen op netwerken maken welke OOK veroordeelde hackers etc. in dienst nemen (mitnick?!) om meer inzicht te krijgen in beveiligingen van netwerken en de manieren waarop zulke mensen te werk gaan ???

In de gevallen van Mitnick etc. roept iedereen schande dat ie zo hard is aangepakt, maar in dit geval moet die jongen van jullie eeuwig op de brandstapel branden ?

Zijn jullie zo rancuneus omdat jullie last hebben gehad van de virussen omdat jullie zelf je verplichtingen niet in orde hadden qua beveiliging ?

[0siris]

In de gevallen van Mitnick etc. roept iedereen schande dat ie zo hard is aangepakt, maar in dit geval moet die jongen van jullie eeuwig op de brandstapel branden ?

Klopt, heeft te maken met de verhouding tussen inspanning en resultaat: Mitnick: grote inspanning, veel eigen denkwerk, lastig reproduceerbaar, klein resultaat. Jaschan: kleine inspanning, kleine hoeveelheid denkwerk, makkelijk reproduceerbaar, veel groter resultaat (helaas).

Zijn jullie zo rancuneus omdat jullie last hebben gehad van de virussen omdat jullie zelf je verplichtingen niet in orde hadden qua beveiliging ?

Nee, want zogauw je besluit alle inkomende mail met attachment .scr en .exe en .htm en .bat en .com te droppen, mis je sowieso al 99% van alle virussen