Hackers kraken webservers van Gawker Media

Een hackergroep die zich bedient van de bijnaam Gnosis heeft in het afgelopen weekend de websites van Gawker Media gekraakt. Duizenden inloggegevens en serverbestanden worden inmiddels in een torrentbestand openbaar aangeboden.

Gawker Media is de uitgever van een aantal drukbezochte weblogs, waaronder Lifehacker, Kotaku en Gizmodo. De Gnosis-hackers zouden toegang hebben weten te krijgen tot het cms en de webservers. Zij claimen uit een buitgemaakt databasebestand 273,789 wachtwoorden te hebben gedestilleerd, waarvan een deel is ontsleuteld. Ook zouden de hackers e-mailverkeer hebben verzameld, samen met andere content die zij op de webservers vonden.

Een deel van de buitgemaakte inhoud is gebundeld in een 500MB zwaar torrentbestand en online gezet. In de vrijgegeven bestanden is ook een readme.txt te vinden met de inloggegevens van onder andere Nick Denton, oprichter van Gawker. Denton zou de fout hebben gemaakt om op diverse websites hetzelfde wachtwoord te gebruiken. Ook hebben de hackers logs in handen gekregen van Campfire, het interne chatsysteem binnen het bedrijf.

De vermoedelijke hackers stellen in een e-mail die bij de website Mediaite binnenkwam dat de beveiliging van de Gawker-servers zeer slecht was. Niet alleen zou de webserversoftware zijn verouderd, ook zou de database publiekelijk benaderbaar zijn en het cms veel beveiligingsgaten bevatten.

Hoewel Gawker zijn gebruikers oproept om zo snel mogelijk hun wachtwoord te veranderen, hebben onbekenden naar circa 200.000 Gawker-accounts een e-mail met dezelfde mededeling verstuurd. De hackers zeggen tot hun daad te zijn gekomen door een 'arrogante' houding van het bedrijf ten aanzien van de hacker community.

Reacties (58)

[Verwijderd]

Ik vermoed dat dit weer de zoveelste MySQL "dump" is die hackers weten bemachtigen vanwege een exploit in de website.

Dit soort websites moeten eens leren om alle gevoellige gebruikersinformatie niet in dezelfde database als de website of uberhaupt in MySQL op te slaan maar bijv, in OpenLDAP

Waarschijnlijk is de password hash in die database gebaseerd op sha1, md5 of een andere onveilige encryptie. Gebruikt dan tenminste MCRYPT AES-256 om de wachtwoorden op te slaan. En vergeet niet de salt uit de database te houden.

Zo kan ik nog wel uren doorgaan. Slecht beveiligde servers zijn vaak makkelijk te vinden vanwege die 'geweldige' Google, ask e.d. toolbars die mensen gebruiken. Die toolbars indexeren elke website die je bezoekt, dus ook elke login pagina.

Zoek dit maar eens op in Google:

inurl:+:8443/login.php
intitle:"Zyxel Prestige Router" "Enter password"
inurl:/+"/phpmyadmin/scripts/setup.php"

Meer info hierover kan je vinden in het boek "Google Hacking for Peneration testers"
isbn: 1597491764. Deze is vrij te lezen onder Google Books. Een aanrader voor elke admin.

Ik vind het zeer schandalig als je zoveel gebruikersinformatie te grabbel legt. Het lijken wel de admins van het UWV. Veel downtime, "sitting duck" servers, XSS exploitable... Als ik een euro zou krijgen voor elke simpele beveiligingfout die eenvoudig te vinden is, dan was ik nu rijk geweest... en overwerkt.


Dit leer je niet bij een cursus van LPIC I,II en III en MCSE, MSCA

[mpkossen]

Kan je misschien uitleggen waarom sha1 (en md5) onveilig zouden zijn? Dit zijn veel-gebruikte methodes om wachtwoorden te encrypten, met of zonder salt. Ik zou zefl vanuit mijn ervaring (PHP programmeur) nog altijd kiezen voor sha1 met salt.

[Tielenaar]

Je gaat me toch niet vertellen dat grote sites als deze hun user passwords onversleuteld hebben opgeslagen? Of is de encryptie zo zwak dat ze de boel kunnen ontsleutelen?

Bedoelen die hackers niet gewoon dat ze hen gewaarschuwd hadden en vervolgens een arrogante houding terug kregen? Dan kan ik het me nog enigszins indenken, toch is die geen hacken te noemen, maar een combinatie van hacken en cracken. Daar kan ik niet achter staan.

[Multi-X]

After gaining access to gawkers MySQL database we stumble upon a huge
table containing ~1,500,000 users. After a few days of dumping we
decided that 1.3 million was enough.

Gawker uses a really outdated hashing algorithm known as DES (Data Encryption Standard).
Because DES has a maximum of 8chars using a password like "abcdefgh1234" only the
first 8 characters "abcdefgh" are encrypted and stored in the database. If your
password is longer than 8 characters you only need to enter the first 8 characters
to log in!

YA DONT SAY!! ?

Because of this we were only able to recover the first 8 characters of someones password!
If the password is 8 characters long there's a good chance that it migt be longer
than 8 characters! But still, there's 1000's of people using 1 - 8 character passwords
for us to have some fun with!



Dus veel mensen gebruikten een zwak wachtwoord incombinatie met oude encryptie is dit voor hun eigenlijk vrij gemakkelijk geweest om dit te ontcijferen zoals je kunt lezen.

Previous attacks against the target were mocked, so we came along and raised the bar a little.
Fuck you gawker, hows this for "script kids"?


Je kunt hieruit opmaken dat ze zijn uitgedaagt door Gawker.

Niet dat dit alles rechtvaardigt maargoed.

[Barleone]

En wat is dan de achterliggende reden van de hack? Stoer doen? Mensjes pesten?

De hackers zeggen tot hun daad te zijn gekomen door een 'arrogante' houding van het bedrijf ten aanzien van de hacker community.

Ik begrijp dit niet helemaal.

[Reactie gewijzigd door Barleone op 25 juli 2024 03:26]

[Relief2009]

De hackers zeggen tot hun daad te zijn gekomen door een 'arrogante' houding van het bedrijf ten aanzien van de hacker community.

Wel een debiele reden . Aan de andere kant maakt het websites bewust van hun slechte beveiliging.

Alleen het aanbieden van een torrent-bestand kan ik niet begrijpen. Dat klinkt echt als iemand met slechte anger-management.

[Reactie gewijzigd door Relief2009 op 25 juli 2024 03:26]

[Mellow Jack]

Hoezo een debiele reden? Dit wordt al jaren gedaan en ik ben het hier compleet mee eens.
Ze hebben eerst gemeld dat het een en ander niet goed geregeld is. Gawker is dan weer zo'n bedrijf wat zoiets niet geloofd (arrogant) en geen publiek onderzoek start. Het resultaat is daarom dus ook dat ze nu gewoon publiekelijk bewijs leveren dat het niet goed werkt zodat Gawker nu gedwongen wordt om actie te ondernemen.

Had Gawker gewoon geluisterd hadden ze het probleem al lang kunnen oplossen. Waarschijnlijk hadden de "hackers" hier zelfs nog advies voor gegeven ook en na het oplossen alsnog een hack proberen te doen om te kijken of het nu wel correct is.

Voorbeeld: Al zou ik weten dat bijv Hyves heel slecht beveiligd is dan zou ik ook alles doen om ervoor te zorgen dat dit verholpen worden. Ten eerste omdat in veel prive gegeven verstuur via PM en niet wil dat iemand dat leest en ten tweede omdat ik veel gebruik maak van hyves en hier dus affiniteit mee hebt waardoor ik graag wil mee helpen aan het verbeteren van het systeem

[Reactie gewijzigd door Mellow Jack op 25 juli 2024 03:26]

[RubenTheys]

En dat kan niet op een andere manier dan simpelweg ALLE logingegevens openbaar te maken en onschuldige mensen hiermee in een lastig parket te brengen? Dit is gewoon een gevalletje 'Kijk-wat-ik-kan-en-iedereen-moet-het-geweten-hebben' van deze hackergroep als je het mij vraagt.

[Reactie gewijzigd door RubenTheys op 25 juli 2024 03:26]

[i-chat]

for all you know hebben ze zelf die 2000 users wel gemailt...

stap 1 meld lek,

stap 2 doe nog een poging,

spap 3 mail die 500 maaar bedrijf...

stap 4 penbaar die 500mb en mail alle mensen waarvan de password hash in je database voorkomt van 'bekende hashes' zoals hallo welkom wachtwoord 12345 etc.


ik zeg niet dat het zo gegaan is, maar het is wel een mogelijkheid,
stap 3.5 zou kunnen zijn dat je aangifte doet bij de politie maar de kans dat DIE er iets mee gaan doen is kleiner dan het verstand van een amöbe

[trisje]

ik kan uit het bericht niet opmaken wat jij nu beweerd.
En wat een hakker arogant vindt hoeft. natuurlijk niet voor een ander te gelden.
ook is het totaal niet nodig alle gegevens vrij teg egeven.
Dit is pure waraak voor iemand die op zijn teentjes is getrapt. Gewoon kinderachtig gedrag. jammer dat dit soort gasten altijd moeilijk zijn op te sporen.

[Cronax]

Sorry hoor, maar begrijp je het concept? Het is in het artikel niet erg lekker verwoordt, maar dit soort groepen maken eerst een melding van een lek en als daar gewoon niets mee gebeurt of als ze een onzinreactiekrijgen (genre 'is niet belangrijk' bijvoorbeeld), dan laten ze het bedrijf zien wat er fout kan gaan. Deze groep heeft alles gepubliceerd, anderen nemen gewoon de gegevens en verkopen ze ergens...

[Verwijderd]

Tja, De hacker community is een niet zo heel fijn wereldje, veel grote ego's die snel kwaad worden.

[SKiLLa]

Wat een onzin; hackers zijn meestal zeer slimme, maatschappelijk betrokken mensen die open staan voor discussies en juist helemaal niet ad hoc ruzies zoeken; waar jij op doelt zijn 'internet helden' die hard schreeuwen op fora ...

[Verwijderd]

Nee,
Ik praat voornamelijk over grey/blackhats, de donkere kant zeg maar.. En dan heb ik het ook over zulke kwaliteiten dat het eng wordt, dus niet alleen maar op forums schreeuwen en verder geen daden.

[Dykam]

Dan ben je te weinig een hackerscene geweest. Ik kan je garanderen dat in de wii&ds-homebrew scene genoeg heethoofden rondlopen. Vooral de piracy-tak. En wat ik soms hoor van andere scenes...

[Cronax]

Goed mogelijk, maar ik vind dat ze ergens wel een punt hebben hoor, er zijn verschrikkelijk veel bedrijven die het niet de moeite waard vinden om iets aan hun beveiliging te doen zelfs als een 'white-hat' (dus nondestructieve) hacker binnen is gekomen...dat is gewoon onaanvaardbaar, zeker als het om privégegevens van klanten gaat.

In de meeste gevallen wordt er eerst melding gemaakt van de lekken voor er dit soort dingen worden gedaan...

[Verwijderd]

Weet je wat ik niet snap...

Het zijn dan toch crackers?
Aangezien ze kwade bedoelingen hebben.
Ik had ooit begrepen dat hackers alleen systemen binnen dringen om aan te tonen dat ze het kunnen dus dat de beveiliging zuigt.

Valt dit niet onder crackers aangezien ze ook alles in het publiek gooien?

[rob12424]

Noop dit is volgens mij blackhat: ze hebben lek eerst gemeld. Toen is er niets meegedaan. En hebben ze gebruikers gemaild. Daarna hebben ze het op internet gezet. En als je als gebruiker zo´ n mail krijgt en geen actie onderneemt. Ja dan ben nalatig.

Dat is wat ik er van begrijp.

[Cronax]

Een cracker laat niets weten en maakt niets publiek, die zou de data vernietigd hebben als hij/zij er toegang toe kan krijgen.

[Dr. Horrible]

Gawker daagde 4chan/Anonymous uit. Ze dachten onkwetsbaar te zijn, en gaven dit ook duidelijk aan richting 4chan.

http://pastebay.com/111830

[Reactie gewijzigd door Dr. Horrible op 25 juli 2024 03:26]

[gise]

Ik zie ook inlog gegevens van onder andere Valve voor een Portal 2 Trailer, is deze al uitgekomen of door deze gegevens gelekt? Ook ben ik wel benieuwd wat er onder andere op de ftp van Rockstar games te vinden is

[Haas_nl]

Die ftp is een public ftp en die trailer staat al lang op youtube.

[ajakkes]

Quote: "De hackers zeggen tot hun daad te zijn gekomen door een 'arrogante' houding van het bedrijf ten aanzien van de hacker community."

Heb je die regel niet gelezen?

[Verwijderd]

Dezelfde reden waarom Greenpeace een kolencentrale blokkeert.

[Keiichi]

Hacken ok, maar het moedwillig naar buiten brengen van gevoelige informatie vind ik not-done.

Voor alles valt wel iets te zeggen om het goed te keuren of af te keuren

[fevenhuis]

En hoe zou u bewijzen dat u de site gehacked heeft?

Ik kan me zo voorstellen dat er niet erg gevoelige informatie tussen zit en het zal mensen dwingen die hun wachtwoord van Gawker ook op andere sites gebruiken dwingen deze te veranderen.

Als de Gnosis de gegevens dus niet zou publiceren, hadden meer criminele hackers dus ongemerkt de wachtwoorden kunnen stelen en deze informatie kunnen misbruiken of doorverkopen.

Dus helemaal redeloos is het publiceren van deze gegevens niet.

[Blokker_1999]

Er zijn legio mogelijkheden om aan te tonen dat je het gedaan hebt zonder de onschuldige gebruikers te treffen. Er is echt geen nood om de volledige DB te dumpen op het net.

[xKeito]

Ik lees graag verschillende Gawker-blogs en maak hiervoor gebruik van Facebook-connect, enige idee of hier ook gegevens van zijn gestolen?

(uiteraard uit voorzorg maar mijn wachtwoord weer aangepast...)

edit: The Next Web.com en Gawker hebben in hun FAQ staan dat mensen die gebruik maakten van Facebook Connect (hoogstwaarschijnlijk) veilig zijn.

[Reactie gewijzigd door xKeito op 25 juli 2024 03:26]

[Barleone]

Geen idee, maar als je het wilt weten download je toch de torrent en zoek je jezelf ff op?
En als je netjes bent verwijder je die torrent daarna weer, zodat de torrent niet via jou kan uitlekken naar anderen.

[Reactie gewijzigd door Barleone op 25 juli 2024 03:26]

[Aganim]

De hackers zeggen tot hun daad te zijn gekomen door een 'arrogante' houding van het bedrijf ten aanzien van de hacker community.

Het vervelende is alleen dat je met het online zetten van gebruikersgegevens, deze houding niet gaat veranderen. Sterker nog, Gawker zal eerder gesterkt worden in zijn gelijk.

[barfieldmv]

Maar het probleem wel oplossen.

[Hakker]

Welk gelijk? Dat ze na het hardop schreeuwen op 4chan dat ze niet te hacken zijn gehackt worden? Sorry maar Gawker was heel heel HEEL arrogant bezig iig een paar mensen daar.

Dat de arrogantie van een paar mensen met een te grote ego en een te kleine pik ineens het bedrijf miljoenen kost als het ook nog eens belabberd is beveiligd ja dan zijn de zure appels voor hun hoor. Daarnaast moet je de link van Dr. Horrible eens doornemen om te zien HOE DOM mensen zijn. niet alleen bij Gawker maar ook users zelf.

Als je het zelf uit loopt te roepen en mensen zelfs uitdaagd dan moet je achteraf niet gaan janken als zulke dingen gebeuren. Het gaat trouwens om 1,3 miljoen accounts waarvan ze zo ongeveer 275.000 hebben ontcijferd en dan ook alleen nog maar met de simpele methode van veelgebruikte wachtwoorden.

[The Dolf]

De hackers zeggen tot hun daad te zijn gekomen door een 'arrogante' houding van het bedrijf ten aanzien van de hacker community

Als je dan site hackt dan valt er nog iets van te zeggen maar om dan ook de inloggegevens van onschuldige gebruikers te verspreiden is gewoon schandalig.

[alex3305]

Toch ben ik het er niet helemaal mee eens dat Gawker's sites een arrogante houding hebben ten opzichte van de 'hacker-community'. Ze berichten namelijk regelmatig over iOS jailbreaks, homebrew (met Kinect bijvoorbeeld) en hoe XBMC gemakkelijk in te richten is. Ook worden er ook regelmatig artikelen gepost met betrekking tot emulators en andere zooi wat net op het randje kan worden ervaren.

Dat er geen echte hacks of cracks worden geplaatst kan ik mijzelf dan wel weer in vinden, maar omdat meteen arrogant te noemen ben ik het niet mee eens.

[Mellow Jack]

Reviewers en bloggers zijn de mensen die publiceren... Die hebben verder niet zoveel met het platform te maken.

[GoVegan]

hoe save is het nu eigenlijk om daar nu je wachtwoord te wijzigen.
ze zijn daar binnen geweest,
wie weet of ze daar wat "nieuw wachtwoord, mail maar door" code hebben achtergelaten...

[DJMaze]

Hacker != Cracker
Kan iemand alsjeblieft dit nieuwsbericht repareren?
Dat de NOS het verkeerd doet kan ik begrijpen, maar tweakers?
http://nl.wikipedia.org/wiki/Hacker

[Sando]

Subcultuurgeneuzel. Tweakers gebruikt dat woord natuurlijk in de breedste zin. Eerste zin: "Een hacker is in het dagelijks spraakgebruik meestal iemand die inbreekt in computersystemen." En dat is waar het om gaat.

"Krakers" zijn mensen die in leegstaande woningen inbreken.

[Reactie gewijzigd door Sando op 25 juli 2024 03:26]

[Tielenaar]

Zo'n kraker is in het engels anders een Squatter.
Het verschil tussen hacker en cracker is weldegelijk belangrijk, alleen het volk begrijpt het verschil niet.
Je kan het wellicht zien als het verschil tussen een advocaat en een rechter. Niet met elkaar te verwarren.
Ander voorbeeld is het verschil tussen een web designer en een web developer. Het volk begrijpt het verschil niet...

Iemand een beter voorbeeld?

[The Zep Man]

Het verschil tussen hacker en cracker is weldegelijk belangrijk, alleen het volk begrijpt het verschil niet.

Een hacker is in de algemene Nederlandse taal iemand die inbreekt op computers.

Een cracker wordt ook wel een toastje genoemd en kan je consumeren met beleg erop (kaas, worst, verschillende soorten salades, kaviaar, etc.).

Al wil je een onderscheid maken tussen hackers: white en black hat geven in de algemene taal redelijk duidelijk aan waar het voor staat (wit voor puur/nobel, zwart voor corrupt/zelfverrijking). Dit is niet zo tussen de woorden 'hacker' en 'cracker'.

[SKiLLa]

In die context is een 'cracker' iemand die DRM-beveiligingen/beperkingen in software omzeilt, waar een 'hacker' (meestal op afstand) inbreekt in een computer-systeem/website. Copieerbeveiligingen uitschakelen/omzeilen vs inbreken dus ...