Defacer treft Franse expertwebsite Microsoft

De Franse expert-site van Microsoft is gisteren onder handen genomen door een hacker. Wie gisteren omstreeks zeven uur 's avonds de url expert.microsoft.fr wilde bezoeken, kreeg een zwarte pagina voor zijn neus met daarop de melding 'Hi master (: Your System 0wned By Turkish Hackers!' Volgens de melding is microsoft.com het volgende doelwit van de groepering die zichzelf redLine noemt. De site zou op Windows Server 2003 draaien en geserveerd worden door IIS. Vermoedelijk is de hack mogelijk geweest door een configuratiefout, maar een '0-day exploit' kan niet uitgesloten worden. De hacker zelf meldt alvast dat het om misbruik van een nieuwe bug zou gaan. De expertsite is op het moment van schrijven nog offline, wat erop kan wijzen dat Microsoft nog aan het onderzoeken is hoe de aanvallers het systeem binnengedrongen zijn. We vroegen Microsoft Nederland om meer details hieromtrent, maar een antwoord liet vooralsnog op zich wachten.

Reacties (34)

[XplodingForce]

Het plaatje op het forum waar Broncode naar linkt ziet er anders uit dan het plaatje van t.net. Wie heeft er nu gelijk t.net of de site van broncode? Die site heeft ook een stukje waar zelfs een kopie van die pagina die ze erop hadden gezet staat, dus het lijkt me logisch dat dat klopt, maar hoe komet tweakers dan aan dit plaatje?

[Yoeri]

Dat 'plaatje' op zone-h is geen plaatje, maar een 'mirror' van de html-code, maar dan met een foutje in de opmaak. Het plaatje dat hier gebruikwordt op t.net is namelijk een screenshot van de gedefacete site

[basanas]

Het is geen fout in de opmaak. De ene layout komt van default.aspx en de ander krijg je als je naar http://experts.microsoft.fr/ gaat zonder bestandsnaam erin.

[basanas]

Gisteravond las ik het nieuws op zone-h.org en toen deed ze link naar de gedefacede pagina het nog wel gewoon en had Microsoft de pagina nog niet offline gehaald. De layout zonder kleuren erin was te zien op http://experts.microsoft.fr/default.aspx en die met de rode letters en dergelijken erin was te zien op http://experts.microsoft.fr/ zonder het default.aspx achtervoegsel.
Jammer trouwens dat ik op de website van Microsoft geen informatie zag staan hoe je de admin kunt bereiken. Ik wilde niet zo lang na de deface de admins bereiken om het te melden zodat ze de pagina offline kunnen halen, maar helaas. De volgende dag had Microsoft het pas aangepast.

[frickY]

In alle gevallen komt [e-mail] bij een technisch contact persoon. Het functioneren van dit adres is verplichtgesteld door de DNS-boeren.
Daarnaast heb je ook grote kans met admin@, webmaster@, en bgates@

[basanas]

Ik heb admin en info geprobeerd. Bedankt voor de informatie

[digital-IMEI]

fout....

[Verwijderd]

ja dat vraag ik me ook af, want ik zag het nieuws al eerder en daar was het plaatje hetzelfde als op de hackers site.

http://www.zone-h.org/ind...=com_mirrorwrp&id=4181592

[Valkske]

tithack heeft al enkele sites gedefaced,
zijn site is geregistreerd (nu gelocked) op een naam van een persoon uit Istanbul - dan is het toch niet zó moeilijk om die gast te vinden?
Op zijn site hield hij blijjkbaar bij welke sites hij gehacked heeft, of had daar althans een rubriekje voorzien (Hackedlar/Defaceler)
http://web.archive.org/we...3/http://www.tithack.com/

[XplodingForce]

Enkele??? Volgens Zone-h.org heeft die gast al 1567 pagina's down gehaald, waarvan 302 alleen 1 frontpage waren, en waar hij 1265x een Mass-Defacement (hele groep pagina's down halen) deed. Dat noem ik toch niet echt een paar pagina's.

Opvallend is dat alle gehackete pagina's op windows draaien, ofwel op Win 2003 (server edition dus) of op Win 2000 server.

[Vorkie]

daar heeft hij zich in geintresseerd...

Hij had ook exploits kunnen zoeken in apache op linux.

[jurrie]

Maar dan was z'n website zo leeg geweest

[Shunt9]

Niet waar, kijk maar in de lijst, op pagina 43 tot 47, zitten toch aardig wat freebsd en vooral linux-servers die het slachtoffers waren van zijn hacks. Ook al lijkt hij inderdaad de laatste tijd toch de 'voorkeur' voor Win-servers te hebben.

[Verwijderd]

Zielig, hoor. Sites defacen.

[Verwijderd]

Op webwereld is in de comments geclaimd dat het om een oude (2004) windows autentication vunerability zou gaat die is gehacked met hacktool THCIISLAME

masterblackmesa @ maandag 19 juni 2006, 14:19
Dit was een makkelijke hack iedere script kiddie zou dit in principe kunnen doen de hacker heeft gebruikt gemaakt van een exploit het zogehete THCIISLAMEv3.0 Exploit.
De server was een vulnerable IIS 6.0 Webserver..

geen goede dag voor het infrabeheer bij MS France ?

[edit]Inmiddels zijn er meer details op zone-h
http://www.zone-h.org/content/view/4770/31/
Het lijkt dus op een exploit in een script van het content management systeem dat op de webserver draaide.[/edit]

[Tha_Butcha]

nee man, die is gewoon down gegooid om te onderzoeken

[mxcreep]

Dan hadden ze toch een tijdelijke pagina online kunnen gooien op een bsd server......oww daar heb je meer kennis voor nodig als 'next', 'next'....'finish'

[SuperDre]

Dat ze uiteindelijk die hackers pakken en goed straffen..

[mxcreep]

Is het zo erg dat de grote reus zo nu en dan eens gewezen wordt op zijn toch wel ietwat brakke software ?

[Verwijderd]

Blijkbaar geen fout in windows of IIS maar een exploit in script dat op de webserver draaide.
http://www.zone-h.org/content/view/4770/31/

[Verwijderd]

De code waarmee dit default.aspx is geschreven zal wel goed lek zijn geweest, als het echt IIS was geweest hadden ze wel meer en andere grote sites aangepakt.

[Theadalus]

Zeg, die Turkse hacker begint nou toch echt vervelend te worden! Kan ie niet gewoon een baan zoeken ofzo?

[Verwijderd]

Lekker oud nieuws weer...

[jimbim]

Hier licht de defacer TiTHack (what's in a name) zijn hack toe. Hij is nogal verbitterd dat hij niet voor vol wordt aangezien.

Edit: mod maar weg, ik heb de link in het artikel over het hoofd gezien. Deze is hetzelfde.