'WMF-exploit ontdekt en verkocht door hackers'

Het extreem kritieke WMF-lek van vorige maand werd ontdekt en verkocht door Russische hackers. Dit zeggen veiligheidsexperts van Kaspersky en iDefense die de geschiedenis van het ontstaan en de distributie van de bug onderzocht hebben. Verschillende Russische hackergroepen boden een exploit voor het lek aan tegen betaling van ongeveer vierduizend dollar. Dit bevestigt vermoedens omtrent het bestaan van een groeiende markt voor het aanbieden van exploits voor veiligheidslekken die nog onbekend en daarom patchloos zijn. Aangezien kwaadwillenden tegen betaling hier eenvoudiger de beschikking over kunnen krijgen, bestaat de angst dat in de toekomst vaker nog niet gerapporteerde veiligheidsproblemen eerst uitgebuit zullen worden voordat er een vulmiddel komt.

Terwijl het probleem op 27 december pas publiekelijk bekend werd, zou het lek al rond 1 december ontdekt zijn. Vervolgens duurde het tot halverwege december tot de eerste kwaadaardige WMF-bestanden de kop opstaken. Deze afbeeldingen bevatten een exploit om willekeurige code te kunnen uitvoeren op de computer die het bestand opende. Vanaf 29 december tot de eerste week van januari verschenen er duizenden WMF-bestanden die probeerden misbruik te maken van het veiligheidslek. In reactie daarop werd er een onofficiële patch geschreven door Ilfak Guilfanov. Ook Microsoft week af van zijn maandelijkse updateschema en kwam met een vervroegde patch voor de bedreigde Windows-gebruikers.

Reacties (34)

[Mick]

Als dit inderdaad uit de hand gaat lopen, dan zal de interesse groeien voor 'trusted computing'-oplossingen en gerelateerde zaken zoals Data Execution Prevention. Daarmee zouden ongepatchte systemen WMF-aanvallen hebben kunnen afslaan. Zie o.m. nieuws: Data Execution Prevention ziet Skype 2.0 als overtreder. Er bestaat wel veel (m.i. terechte) kritiek op dit soort oplossingen, maar het zou me niet verbazen als dat (vanuit pragmatisch oogpunt) minder wordt als de exploitmarkt populair wordt en en zich succesvol aan het zicht van de rest van de wereld weet te onttrekken.

@Olaf: jawel, in de zin dat er hardwarematige aspecten aan zitten - maar het is toegegeven niet hetzelfde als de technieken van de Trusted Computing Group.

[kidde]

Het wordt tijd dat MS eens met een fatsoenlijk besturingssysteem komt, dat ontworpen is om veilig te zijn.

Het probleem aan Windows (en ook Linux, Mac OS X en *BSD, en de meeste andere jaren '70 software) is dat het niet ontworpen is voor veiligheid in combinatie met netwerken (Hoewel ze bij OpenBSD acceptabel werk afleveren).

DRM, Trusted Platforms en 'signed hard en software' etc. is natuurlijk ook een oplossing, maar een klantonvriendelijke, omdat het de compabiliteit en concurrentie praktisch onmogelijk zal maken. Bovendien zal DRM het monopolie van MS alleen maar versterken, immers, zonder MS software en Intel hardware zullen de toekomstige Hollywood films waarschijnlijk niet meer te bekijken zijn, en zodoende kunnen MS/Intel een deel van de winst van de films eisen, omdat de filmmakers alleen nog maar kunnen kiezen voor winstverlies door kopieerbare films of winstverlies door een afdracht aan MS en Intel.

Men kan beter kijken naar de geschiedenis (Het 60'er jaren OS Multics dat ontworpen werd met veiligheid als ontwerpeis en voor grote delen overnieuw geschreven werd toen er veiligheidslekken in zaten: www.multicians.org) of CoyotOS (www.Coyotos.org). Het laatstgenoemde OS belooft zelfs formeel bewezen veilig te zijn, dus dat wiskundig bewezen kan worden dat exploits onmogelijk zijn. Dit heeft ook te maken met de gebruikte programmeertalen, de meeste programmeertalen zijn wiskundig niet al te strict gedefiniëerd.

Eerder viel er op Tweakers te lezen dat Microsoft ook aan een nieuw OS bezig was dat ook 'secure by design' zou zijn, maar dat dit niet de opvolger van Windows was. Een grote beleidsblunder lijkt me, want heel de wereld zit momenteel te wachten op een OS dat 'secure by design' is, en niet eentje die 'insecure by design' en daarna dichtgepleisterd en dichtgeDRMed is. Want waarom zou men genoegen nemen met een dichtgeplakt vergiet als er ook pannen bestaan?

Microsoft zal hier echter pas toe overgaan als het geen winst meer kan maken op de vergieten, wat pas zal gebeuren als de consumenten pannen eisen.

[SuperDre]

Exploits zijn nooit onmogelijk.. iets wat gemaakt is kan ook gekraakt worden, dat is gewoon een feit.. het is alleen maar een kwestie van tijd en veel jolt cola...

Microsoft levert nu gewoon een fatsoenlijk besturingssysteem, maar het zijn de mensen die er gewoon slecht mee om gaan.. en er zijn ook genoeg lui die de boel willen 'vernielen'...

[Olaf van der Spek]

DEP heeft niks met trusted computing te maken.

@Olaf: jawel, in de zin dat er hardwarematige aspecten aan zitten

Trusted computing is iets redelijk specifieks en hardwarematige 'beveiligingen' zijn een veel breder begrip.
DEP valt wel onder dat bredere begrip maar dus niet onder trusted computing.

[Verwijderd]

tja een exploit kan veel meer opleveren:
banners, popups, spamservers, keyloggers (creditcard fraude), wachtwoorden etc.

[SuperDre]

Trusted computing en Data execution prevetion is ook geen oplossing.. het lijkt allemaal veilig, maar geloof maar dat daar ook virussen en worms voor komen..theorie en praktijk zijn vaak compleet verschillende dingen.. en ik heb liever een snel en dan zo af en toe 'onveilig' OS dan een zeer traag en 'veilig' OS..

Er zullen altijd hackers zijn die de boel toch op 1 of andere manier willen verstieren...

[the_stickie]

Oh jawel; om de consument bij handen en voeten te binden wat betreft digitale media

[TRON]

En waarom gaan dit soort hackers exploits verkopen? Omdat de tegenpartij, Microsoft, niet dankbaar genoeg is:
- patches na melding te laat uitbrengen
- geen dankwoord (tenminste daar ga ik van uit uit eigen ervaring)

Het is natuurlijk niet goed dat dit soort zaken gaan plaatsvinden, echter de bedrijven werken het zichzelf in de hand. Als je een aantal exploits meldt bij een bedrijf en je wordt grof behandeld en/of er kan zelfs geen dankwoord van af, dan kan ik begrijpen waarom mensen deze ommeslag maken.

[Inge Janse]

Ik denk niet dat dit met ondankbaarheid maar met die vierduizend dollar per verkochte exploit te maken heeft. Als Microsoft deze broodhackers geld biedt per gevonden en potentieel uitbuitbare weeffout, dan zal het deze mensen weinig schelen of zij dit geld met of zonder dankwoord krijgen.

[synthesix]

Nu je het zegt, dat zou eigenlijk best wel een goed idee . 4.000 euro per lek, dat kunnen ze toch wel ophoesten daar bij ms, alleen probleemtje met lekken die ze al hadden gevonden, die willen ze natuurlijk niet nog een keer betalen, alleen hoe ben je daar al hacker zeker, dat ze je niet naaien bedoel ik dan...

[Verwijderd]

Denk dat het eerder met geld te maken heeft... grof geld

[dubbelpost..]

[Sissors]

Microsoft de schuld geven van het feit dat hackers exploits verkopen?


Vroeger waren hackers misschien aardig, maar veel zien hackers nog steeds als een soort robin hood's, terwijl het gewoon ordinaire criminelen zijn die het alleen om het geld te doen is.

_{wedden dat ze zelfs van dit bericht een MS bash feestje kunnen maken}

[martijnvanegdom]

Maak nu eens het verschil tussen hackers en crackers.

check bv. http://nl.wikipedia.org/wiki/Cracker

Als je daar nu duidelijk onderscheid in maakt.. Een hacker hackt en bekijkt computersystemen en verteld vervolgens netjes wat tie uitgespookt heeft.

Een cracker daarentegen is crimineel het gaat hier dan ook niet om hackers maar om crackers..

Een event als "What the Hack" hoeft ook niet verboden te worden.. maar iets als "What the Crack".......

Edit ; He? Overbodig, kan iemand mij uitleggen wat er aan deze post overbodig is?

Edit2 : Kijk das beter :)<div class="b4" style="position: relative; color: black; border: #C6C1B4 1px solid; width: 80%; padding: 5px; font-size: 12px;"><span style="color: C00042;">Admin-edit:</span>
Het reageren met betrekking tot de moderaties binnen een reactie-draad is onwenselijk en offtopic.

Opmerkingen over onterechte moderaties zijn beter op hun plaats in het Tweakers.net Moddereter Forum; klachten over moderaties worden daar behandeld en wanneer mogelijk rechtgezet, of anders zal de gekozen moderatie onderbouwd worden.
</div>

[Verwijderd]

In één woord Gelul. Sinds het begin van de computer zijn er mensen geweest die inbraken op computer systemen. Die zijn ook vanaf het begin aangeduid als "hackers". Sommige daarvan hadden (en hebben) misschien ideologische motieven maar de meeste doen het ofwel voor de kick ofwel voor andere dubieuze redenen.

Het onderscheid tussen die groepen is nihil. Je kan wel willen dat de kleine groep ideologisch gemotiveerde hackers anders worden geklassificeerd als de overige hackers, maar het begrip "cracker" is een kunstmatig begrip wat enkel door een zeer kleine groep gebruikt wordt. (De mensen die zichzelf als "goede" hacker zien) In het beste geval is "cracker" een term voor een subgroep hackers. Dat die subgroep vrijwel gelijk is aan de héle groep maakt het onderscheid vrij zinloos.

De meeste beveiligings experts definieren een hacker gewoon als iemand die ongevraagd (voor wat voor reden dan ook) inbreekt op andermans computersysteem.
De motivatie is namelijk niet relevant. Met wat voor motief je het doet, je blijft een ongewenst probleem.

(En dat het op wikipedia staat: Daar staat wel meer onzin)

[synthesix]

Dus bij jou maakt het je niet uit of er een hacker in je systeem inbreekt, om je vervolgens te mailen, dat je systeem lek is, en wat je het beste kan doen om het te dichten, of dat een cracker inbreekt, eerst je bankgegevens jat, om vervolgens je hardeschijf te formateren(formatteren? hoe schrijf je dat eigenlijk)?

[Verwijderd]

dr zijn ook veel mensen die helemaal niet inbreken (met wat voor reden dan ook) maar programma's maken - en ook zij heten hackers en/of worden hackers genoemd
en dan is het onderscheid al wat duidelijker

[BlooDbeak]

Ik ben het helemaal met je eens, er is een duidelijk verschil tussen hackers en crackers. Van tweakers zou je mogen verwachten dat ze dit verschil erkennen.
Dat non-tweakers het verschil niet weten valt dan nog wel een beetje te begrijpen.

[Verwijderd]

zijn crackers niet een soort koekjes?

[Verwijderd]

Nee, dat zou firecrackers verontrustend maken...

[Greyh0und]

Robin hood was ook gewoon een crimineel hoor... Ook al gaf hij aan de armen...

[memphis]

Mja... dit soor berichten vormen altijd een goede promotie voor antivirus producten en firewalls.

Persoonlijk denk ik dat dit niet de eerste en de laatste zal zijn waarbij de hackers de patch voor zullen zijn want dat is altijd wel zo

Het is natuurlijk al krankjorum dat via een mediabestand een code uitgevoerd kan worden. Mij lijkt het dat een player gewoon een media moet kunnen openen en afspelen en als hij het niet begrijpt dan of een weerwar weergeven of stoppen met spelen.

[bondje33]

Vergelijk een hacker met een mongool die in een dorp aan deuren voelt of ze wel of niet op slot staan. Jij ziet hem en vraagt "WTF doe jij aan mijn deur met je klauwen ??!!"
Oh , zegt ie, "Ik voel alleen even of uw deur open staat, om u te waarschuwen als ie niet afgesloten is."
En jij zegt zeker, "Oh bedankt hoor dat je me ff komt waarschuwen, de wereld is beter af met jou....."

Ik daarentegen, sla eerst zijn kop van zijn romp en vraag daarna pas waarom ie aan iedere deur voelt

Je hebt gewoon met je poten van andermans spullen te blijven, of je nou Hacker of Cracker heet.....
OPZOUTEN

[Greyh0und]

Mischien geilt ie wel op deurkrukken

[Verwijderd]

reactie op
"In één woord Gelul. Sinds het begin van de computer zijn er mensen geweest die inbraken op computer systemen. Die zijn ook vanaf het begin aangeduid als "hackers"."

Wat je zegt in u post begint spijtig genoeg waar te worden, de oorspronkelijke betekenins van hacker is al lang verloren gegaan, maar toch even voor de duidelijkheid. Het woord hacker heeft zijn geboorte gevonden in de MIT labo's van de stanford university. Daar zaten programmeurs die tot laat in de nacht op code zaten te hacken (aan werken om op creatieve manieren die code efficienter te maken), dat was dan ook de oorspronkelijke betekenins, een probleem op een creatieve manier oplossen.

meer info
http://www.fiu.edu/~mizrachs/oldnew.html

Een hacker is zelfs niet iemand die van deur tot deur gaat om te voelen of hij los is, "echte" hackers haten routine en verlangen naar uitdagingen, voor de 20ste keer een reeds gebruikte exploit gebruiken is gewoon saai.

De volgende link vind ik persoonlijk niet zo een super tekst, maar geeft wel het oorspronkelijke beeld van een hacker weer
http://www.catb.org/~esr/faqs/hacker-howto.html

maar goed, de media is niet even geïnformeerd, en we zullen ons erbij moeten neerleggen dat het woord hacker wordt groepsverkracht door criminelen, scriptkidies, idioten, vandalen en crackers.

Een nieuwe naam verzinnen voor de oorspronkelijke hackers zou geen slecht idee zijn, tweakers lijkt me zelfs redelijk toepasselijk.

Tweak the world

[[BoSS]]

Er staat één foutje in dit bericht: WMF-bestanden zijn geen video's (2e alinea) maar (vector-)afbeeldingen.

[Daos]

Deze videos

.WMV is volgens mij video en .WMF een plaatje (vectorafbeelding)

[edit]
Dubbelpost na kwartier

[wooley]

ik heb ook vaker dat als ik een mov bestand heb gedownload en dat daarna afspeel,de browser allerlei pagina's opent??????

[DaRk PoIsOn]

Het is niet alleen de non tweakers, ook alle 1ste jaars mbo ict'ers (ik speel wel is een spelletje op de computer type) word door de meestal zwaar gekwalificeerde leraren(kuch) voorgeschoteld dat hackers de kwaadwillenden zijn en ze niet eens weten dat er ook nog zoiets al crackers bestaat