Tiental torrentsites down na aanval op hostingbedrijf

Door een aanval op het serverpark van hostingprovider Reality Check Network is in het afgelopen weekend een tiental torrentsites offline gegaan. De aanval is volgens het bedrijf vermoedelijk het werk van een ex-werknemer.

Zaterdagochtend wist een aanvaller de systemen van Reality Check Network binnen te dringen. Daarbij overschreef hij de bootsectoren van een aantal serverschijven. Dit had tot gevolg dat een tiental torrentsites uit de lucht ging, waaronder het drukbezochte Torrentreactor.net, zo meldt TorrentFreak. Ook Torrents.net, Yourbittorrent.com en Fulldls.com waren onbereikbaar geworden, samen met een aantal kleinere torrentsites.

Omdat enkele van de door Reality Check Network gehoste torrentsites miljoenen bezoekers per dag trekken, werd in eerste instantie gedacht aan een aanval vanuit de antipiraterijhoek. Het hostingbedrijf liet echter later weten dat een ex-werknemer vermoedelijk de boosdoener is. Volgens Reality Check Network verklaart dit de grote schade op de diverse getroffen servers, omdat de aanvaller gedetailleerde kennis van de infrastructuur zou hebben gehad. Inmiddels is de firma druk bezig om backups terug te zetten, maar op moment van schrijven zijn de meeste getroffen torrentsites nog steeds onbereikbaar, evenals de homepage van het hostingbedrijf.

Reacties (54)

Blijkbaar hebben ze de backup wel goed op orde, in tegenstelling tot het disablen van gebruikers die ze ontslaan..

Of deze ex-werknemer had voor zijn vertrek een backdoor ingebouwd, zo moeilijk is dat niet

Ik vraag me af wat je hier nu aan hebt als ex-werknemer? Als ze erachterkomen wie het gedaan heeft en je veroordelen, dan heb je
1. een strafblad
2. geen toekomstige baan in de IT sector lijkt me...

Of hij moet het in opdracht hebben gedaan van iemand en veel geld ervoor vangen

Veel virussen worden dan ook geschreven en/of losgelaten door ontevreden (ex)medewerkers, gewoon de werkgever in een kwaad daglicht zetten.

Dat was twintig jaar geleden inderdaad het geval, tegenwoordig zijn spammers en aanverwanten de belangrijkste virusschrijvers.

erkens schrijft toch ook niet dat ontevreden ex werknemers de belangrijkste virusverspreiders zijn? Hij stelt alleen dat het veel voorkomt.

Heel bijzonder, je hebt een geschil met je werkgever en je vernield daarom het intellectuele eigendom van je werkgever's klanten?

Een bijzonder kromme gedachtengang.. Wat mij betreft nagelen ze die man aan de digitale schandpaal zodat hij nooit meer in een dergelijke positie kan komen, hij heeft namelijk een ernstig psychisch probleem.

Volgende keer werkt hij misschien voor een project bij de Rabobank, de gevolgen zijn dan niet te overzien als hij weer eens een slechte dag heeft..

Of in een ziekenhuis ...

Dat zijn grote als'en. Met name het bewijzen dat het echt de betreffende werknemer was is heel moeilijk.

Teveel BOFH gelezen...

Een slimme it'er zal inderdaad niet vanuit zijn eigen huis de aanval in zetten waardoor een hack bewijzen met behulp van ip gegevens niet te doen zal zijn.

Waarschijnlijk heeft deze meneer zichzelf toegang verschaft via een draadloos netwerk o.i.d.

Het zijn dingen die je niet tegen kan houden. De manier waarop mensen zo nu en dan weg gestuurd worden bij een werkgever is ook niet altijd even netjes. Ik kan mij daarom goed voorstellen dat 1 op de 1000 werknemers zichzelf zo dusdanig zielig vind dat hij of zij besluit wat narigheid uit te halen.

Kortom je doet er niets aan. Er zitten nou eenmaal zwakke schakels in deze maatschappij en om daar nou continu bij ieder vertrek van een werknemer maatregelen voor te nemen zoals het veranderen van alle wachtwoorden mbt root en admin accounts gaat mijn inziens een beeje ver. Daarnaast heeft het weinig zin aangezien de werknemer ook gewone gebruikers voor het ontslag voorzien kan hebben van admin/root rechten. Dit valt een gewone beheerder echt niet direct op.

Als iemand narigheid uit wil halen doet hij het toch wel. Hoge boetes en geheimhoudingsplicht in het contract opnemen is de enigste manier om je hier lichtelijk voor te beschermen al moet je dan wel kunnen bewijzen dat de hack is uitgevoerd door de persoon in kwestie en dat is vaak moeilijk.

is deze voormailge werknemer,aangenomen bij brein

Haha zou natuurlijk zomaar kunnen. Kijk er zijn zoveel mensen en met de enorme mensenmassa van tegenwoordig word de kans steeds groter dat er zwakke schakels tussen je personeel zitten.

Het is niet alleen dit soort werknemers die de boel gaan zitten vernielen. Maar er zijn ook zat mensen die bouwtekeningen, offertes of andere waardevolle content (al dan niet tegen betaling) naar concurrenten door spelen.

Het is ziek dat het gebeurt, maar helaas omkom je er niet aan. Het is fijn om te denken dat al je personeel 100% safe is maar er zitten vaker zwakkelingen tussen dan de meeste werkgevers denken. In grote ondernemingen is de kans natuurlijk hoger dat je op zo'n gek stuit dan in een onderneming met 50 man personeel.

2. geen toekomstige baan in de IT sector lijkt me...

Telt de RIAA ook als "IT sector"? Misschien bieden zij hem wel een baan aan; hij heeft meer torrent-sites platgekregen dan de gemiddelde RIAA-medewerker.

Waarschijnlijk kan hij een baan in de IT sector wel vergeten. Maar misschien kan hij morgen wel al beginnen bij Brein

Dus je kunt bijna overal terecht

yup, een openssh-server met backdoor is zo geplaatst, ik kwam zo'n ding pas op een server van iemand tegen.

Waaruit blijkt dat in het artikel?

Een backdoor inbouwen is best niet zo gemakkelijk te detecteren als je honderden servers hebt.

Het is dan al een heel slecht idee om dit te doen als ex werknemer, toch denken sommigen hiermee hun "woede" af te reageren.
Dat zal hem dan waarschijnlijk nog zuur opbreken.

Als ze het kunnen bewijzen.

Waarom gaat een server down na het overschrijven van de boot sector?
Het overschrijven van de boot sector en een restart OK, maar alleen het overschrijven van een bootsector?

Dacht ik ook al aan, maar zelf met een reboot zou de server snel moeten te herstellen zijn wanneer je die sector weer herstelt. Misschien is er voldoende schade aangericht dat het filesystem niet meer herkend wordt.
De backup terugzetten kan puur uit voorzorg zijn. Stel je voor dat hij een extra administatieaccount aan al die sites heeft toegevoegd en doorverkoopt .

Dat account zit dan natuurlijk ook in de backup, ik neem aan dat ze geen maandbackup terugzetten van april of mei.

als je de bootsector kunt overschrijven, kun je ook wel een reboot commando geven

precies, als je (ik heb dit even opgezocht ;D) 'dd if=/dev/zero of=/dev/sdb bs=512 count=1' uit kunt voeren, is een 'shutdown -r now FUCK. EVERYTHING.' ook te doen. Evt. met sudo ervoor.

hoe calculeer je de schade aan het downzijn van een torrentsite ?
zou eerder zeggen dat het niet kunnen downloaden van zaken schade voorkomen heeft, maar hoe calculeer je dat dan.

kun je ook niet calculeren, dit is maar een verhaal dat dient als voorbereiding op de schadeclaim voor een eventuele rechtszaak.

mijn website met torrents verwijzende naar auteursrechtelijk beschermd materiaal is down. ik wil een schade vergoeding. zou hilarisch zijn. denk dat dit wel ondervangen is door algemene voorwaarden. wel knullig dat een ex werknemer nog toegang heeft. een van de dingen die je toch wel in het begin van je studie krijgt is inactief zetten van accounts van medewerkers die vertrokken zijn.

Inderdaad, schade die geleden is kan nog best vervelend worden.
Situatie 1: Torrenthoster claimt schade
Brein valt torrenthoster aan omdat ze zelf toegeven winst te maken op de downloads

Situatie 2: Torrenthoster claimt niets
Brein heeft het lastiger om aan te tonen dat ze eraan verdienen

Ik ben zeer nieuwsgierig hoe dit zich gaat afwikkelen...

Trouwens een derde situatie waarin enkel voor geleden schade word geclaimd zou een tussenweg zijn... zeggen dat ze winst maken lijkt me juridisch niet verstandig...

zou had ik het nog niet bekeken.

ze maken geen winst op de torrents zelf maar op het advertentie model daaromheen. dus indirect wel op auteursrechtelijk materiaal waar ze de torrents van aanbieden.

verwacht niet dat ze een claim gaan leggen al zouden ze dat wel kunnen.

De back-ups zijn wel in orde,
Maar vraag me af waar ze al die data hebben gelaten,

Als ex werknemer heb je hier eigenlijk helemaal niks aan,
Ze doen toch hun stinkende best om ze weer online te krijgen!

"Maar vraag me af waar ze al die data hebben gelaten,"
waarschijnlijk gewoon op backup tapes? of bedoel je dat niet?

ja maar van waar de tapes gelaten zijn,
want als ex werknemer zou je dat misschien wel weten en heb je er meer aan om die te vernietigen ofzo?

Je zorgt er natuurlijk voor dat DAT nou net niet kan.
Zo gaan bij ons de tapes in een dikke kluis hier in het pand en een (een niet nader te noemen locatie vanwege dezelfde redenen) kopie buitenshuis voor als het pand in vlammen op gaat..
Ik mag aannemen dat een bedrijf als dit ook een dergelijke constructie heeft. Veel bedrijven huren voor de backup een kluisje bij een bank, om daar veilig de backups op te slaan.


Als je echt schade wilt toebrengen zou ik het niet bij de fysieke media zelf zoeken, maar zorg ervoor dat (zonder dat de sys-beheerder het in de gaten heeft) de gehele backup die je maakt compleet nutteloos is. maw: zorg dat ze geen backup hebben, valt er niets te restoren, dan hebben ze echt een dik probleem. Dit is overigens niet makkelijk, en gaat wel ERG ver...

oke dankje wel,
Ja ik wist het zelf niet omdat ik geen ervaring heb met dit soort dingen,

"Als je echt schade wilt toebrengen zou ik het niet bij de fysieke media zelf zoeken, maar zorg ervoor dat (zonder dat de sys-beheerder het in de gaten heeft) de gehele backup die je maakt compleet nutteloos is. maw: zorg dat ze geen backup hebben, valt er niets te restoren, dan hebben ze echt een dik probleem. Dit is overigens niet makkelijk, en gaat wel ERG ver..."

Het gaat wel Erg ver ja om zo iets te gaan doen.
Maar je hebt er ooit van die mensen bij die dat toch willen doen.
Uberhaupt snap ik niet wat die ex werknemer er mee opschoot.
Waarschijnlijk helemaal niks...

Niet zo slimme actie natuurlijk als ze jouw sporen kunnen volgen.Wel een lekker rustig dagje voor een hoop mensen ;-)

En een hele drukke dag voor andere mensen die hun site nodig hebben om inkomsten te genereren of hun mail gehost hebben op de servers en nu niet meer kunnen communiceren met klanten; dat wordt alternatieven zoeken e.d.

Ach, als ze garanties van hun hoster hebben kunnen ze dat gewoon op die hoster verhalen - dat een ex-werknemer bij hun ingebroken heeft is gewoon hun eigen verantwoordelijkheid, of ze het voorkomen konden hebben of niet. Een bedrijf dat gewoon afhankelijk is van de hoster heeft daar geen boodschap aan.

Ik vraag mij wel af waarom juist de torrent sites, zouden dit hun grootste klanten zijn?

kan me voorstellen dat er ook andere sites getroffen zijn,maar het melden van 'torrentsites' heeft natuurlijk iets meer impact

Een backdoor is 9 van de 10 keer niet eens nodig, de meeste bedrijven zijn niet zo snel met het verwijderen van login's etc.

Ik mag toch hopen dat een hostingprovider niet onder "de meeste bedrijven" valt...

Lijkt mij inderdaad dat hij zelf een backdoor heeft ingebouwd, maar kan natuurlijk altijd zijn dat een werknemer niet wordt verwijderd en hierdoor gewoon nog rechten heeft. Verder zullen ze echt niet bij elke werknemer die weggaat alle wachtwoorden vernieuwen. Hopen dat er niks mis is met de backups nu.

Is wel gelijk een goede restore test voor dit bedrijf

Ik denk dat eerder werk is van de filmmakers enz.

eerder zo'n bedrijf zoals AiPlex Software wat DDOS-aanvallen toegaf. Ze doen het niet zelf - teveel identiteit.

Dit is geen ddos aanval zoals de titel doet verwachten. Ik weet niet hoe goed die servers beveiligt zijn maar die krijg je alleen neer met uitgebreide kennis van de infrastructuur of de aanvaller is wel heel geskillde blackhat.

Grappig dan dat er in het artikel iets heel anders beweerd wordt.

Een paar torrent sites tijdelijk meer of minder maakt niet er zijn genoeg alternatieven