Hackers dringen database Winamp-forum binnen

Hackers hebben de database van het Winamp-forum gekraakt en hebben in ieder geval de e-mailadressen van een onbekend aantal gebruikers ontfutseld. Mogelijk zijn ook andere persoonsgegevens buitgemaakt.

Winamp stelt gebruikers van wie het e-mailadres door de hackers is buitgemaakt met een e-mail op de hoogte. Ook is er een topic geplaatst op het Winamp-forum waarin de hack wordt geopenbaard. In het topic wordt alleen gesproken over e-mailadressen die zijn uitgelekt, maar in een mail aan gebruikers schrijft Winamp-manager Geno Yoham dat het bedrijf vreest dat ook versleutelde wachtwoorden zijn buitgemaakt.

Het is niet bekend waardoor de hack kon plaatsvinden; Winamp geeft enkel aan dat het bedrijf een aanval heeft 'geïdentificeerd' en 'geblokkeerd'. Ook zouden er 'aanvullende beveiligingsmaatregelen' zijn genomen. Het bedrijf raadt getroffen gebruikers aan om voor de zekerheid hun wachtwoord te veranderen.

Reacties (53)

[Auredium]

Hmm,

in de good old days van Windows 98 vond ik Winamp echt een super programma. Voor Windows was het zeker HET programma om muziek mee af te spelen. Vandaag de dag gebruik ik het nogsteeds maar vergeleken met bijvoorbeeld Windows Media Player is het een beetje bloatware geworden waarbij de standaard interface iets te onrustig is.

Ik denk dat ze de load van de hack is opgevallen maar misschien niet zo snel als zou moeten. Persoonlijk sta ik neit geregistreerd bij hun omdat ik de gratis variant gebruik maar ik kan me voorstellen dat je als betaalde gebruiker het toch minder vind. In ieder geval goed dat de hack gestopt is en dat ze de boel op de hoogte stellen ervan.

[SidewalkSuper]

Als je gewoon de Winamp Lite versie pakt of als je gewoon de standaard install zelf customized tot een vrij minimale install is het niet bloated hoor. De Lite versie is een beetje verstopt (http://www.winamp.com/media-player/nl onderaan de pagina), maar Winamp in het algemeen is voor mij nog steeds de beste muziekplayer.

[Nox]

Ik heb de volledige (gratis) versie maar het is zeker geen bloat. Juist al die functies zijn geniaal, ik gooi mijn DHD op WiFi en kan gewoon rustig syncen. Iets wat met een WMP en WM zeker niet gaat.

[KoalaBear84]

Je kunt prima de standaard skin gebruiken zoals 10 jaar geleden, kun je ook kiezen bij installatie.

En verder bloated? Je bedoeld veel keuze en mogelijkheden / instellingen?

[DJ TerraByte]

Alsjeblieft, alle oude versie van Winamp, perfect snel en stabiel onder moderne installaties op Win7 x64 en x86:
http://www.oldversion.com/Winamp.html

Ik begrijp niet wat ik met een nieuwere versie moet
Nieuwer != beter...

[jacob.korf]

Hebben ze niets anders te doen? Winamp is een top-programma die goed bijdraagt aan de internet-community. Laten ze lekker andere websites gaan hacken! Wel ben ik benieuwd hoe ze het precies gedaan hebben. Daar is het artikel nog iets te "vaag" over.

[bonus]

Sinds waneer is hacken zinnig ? Net zoiets als zinloos geweld, welke vorm van geweld is dan wel zinvol. Hacken om zwakheden in het systeem bloot te leggen, dat is meestal om te laten zien dat een andere hacker het zou kunnen.

[Stoney3K]

Sinds waneer is hacken zinnig ? Net zoiets als zinloos geweld, welke vorm van geweld is dan wel zinvol. Hacken om zwakheden in het systeem bloot te leggen, dat is meestal om te laten zien dat een andere hacker het zou kunnen.

Ik maak altijd duidelijk onderscheid tussen hacken om een zwakheid in het systeem boven tafel te krijgen en 'hacken' door (vaak met gebruik van scripts) grote hoeveelheden data buit te maken voor eigen gewin.

De eerste situatie is vergelijkbaar met structureel aan deursloten rammelen om te kijken of ze niet (per ongeluk) open gaan, en daarna de eigenaar van het slot opbellen om te laten weten dat de deur niet goed dicht zat.

De tweede situatie is vergelijkbaar met bij een loods inbreken en de helft leegroven om het ergens anders op de zwarte markt te verkopen. Behoorlijk verschil.

[jip_86]

Laat ze liever buiten gaan spelen. Niemand is er bij gebaat. Het word zo onderhand niet meer leuk als links en rechts sites met jouw gegevens gehacked worden.

[herbalx]

Er is te veel geld te verdienen met de gegevens en 95% van bedrijven/organisaties hebben niet de juiste kennis noch mogelijkheden om hun website en andere IT-voorzieningen te beveiligen. Dan roep je het op je zelf af .....

De trent die je tegenwoordig ziet, is dat bedrijven zich op allerlei manieren willen profileren waaronder op internet echt houd men geen rekening met de risico..... Terwijl wanneer tegen een bedrijf zegt dat ze gebruik mogen maken van een pand maar het pand niet beveiligd kan worden men ook niet voor het pand zou kiezen ......

systeembeheerder, netwerkbeheerder, programmeurs enz. enz. slecht 5% heeft kaas gegeten van security. 45% zegt het wel te weten maar doet het niet of weet het toch niet en de andere 50% geven aan er geen verstand van te hebben met welke achterliggende reden dan ook ......

[ZesPak]

Er is te veel geld te verdienen met de gegevens en 95% van bedrijven/organisaties hebben niet de juiste kennis noch mogelijkheden om hun website en andere IT-voorzieningen te beveiligen. Dan roep je het op je zelf af .....

Ik zie niet in hoe winamp dit op zichzelf heeft geroepen, integendeel.
Bovendien maken ze een (imho zeer goede) mediaspeler, ze zijn geen beveiliginsbedrijf en doen (voor zover ik weet) niemand kwaad.

Met jouw redenering roept iedereen die geen super alarm systeem thuis heeft het "opzichzelf op" als er ingebroken wordt?
Oudere wagens die gestolen worden, dat "roep je op jezelf op" omdat oudere wagens meestal gemakkelijker te stelen zijn?

Kromme redenering.

[ctrl-tab]

" Het word zo onderhand niet meer leuk als links en rechts sites met jouw gegevens gehacked worden. "


je wilt toch niet zeggen dat je hier van op kijkt?
overal waar je jezelf registreert loop je dit risico , simpel as that ...

ik denk dat er van zowat iedere 'internetbewoner' al wel eens iets uitgelekt is via een of andere website .... NAW of Alter Ego, daar gaat het even niet om.

[jip_86]

Nou een beetje wel. Het gebeurt tegenwoordig toch vaker dan een jaar of wat geleden heb ik het idee. En ook niet alleen bij de kleine hobbysites.

[THID]

of het wordt niet meer stilgehouden

[Stoney3K]

of het wordt niet meer stilgehouden

Daar heb je best goed kans op. Na de acties van Anonymous, die zich als een grote wannabe-Robin Hood tegenover MasterCard opstelde, is het misschien zo dat er meer tieners denken dat 'hackertje spelen' cool is en er dus eerder over opscheppen als ze een kinderlijke actie hebben uitgehaald zoals het defacen van een website.

Ik erger me er als zelfuitgesproken hacker groen en geel aan: Ik weet wat de hacker-community als functie heeft en de afgelopen jaren al voor elkaar heeft gekregen. (O.a. zonder de Nederlandse en Amerikaanse hackers hadden we nu hier geen PGP gehad.). Dus tieners die tegen alles aan schoppen en daar het labeltje 'hacker' op plakken schieten bij mij vaak genoeg in het verkeerde keelgat. Net zoals de media die het hackers-zijn-schurken imago maar al te graag overneemt.

Niets is minder waar: Hackers zijn meer hippies dan boeven.

[burne]

(O.a. zonder de Nederlandse en Amerikaanse hackers hadden we nu hier geen PGP gehad.).

Zwets niet, vent. PGP werd via bbs-en en USENET gekopieerd, in de tijd dat jij nog met staartdelingen op de lagere school worstelde. De Amerikaanse regering zag dat als export van gevoelige technologie, wilde Phil Zimmerman vervolgen, en dus heeft Phil de source-code als boek uitgegeven, ongeveer op het moment dat jij naar het voortgezet onderwijs ging. Hier in Europa werd het boek gescanned, ge-OCR't en weer gecompileerd. Geen hacker aan te pas gekomen, gewoon MIT Press, US Postal Services en het First Amendment. Boeken zijn expliciet beschermt, software was (en is) potentieel 'munitions' en aan vervolging onderhavig.

[YopY]

Spammers wel, die hebben nu weer een lijst met e-mailadressen erbij. Geloof ook nooit dat zo'n soort database buiten die gegevens om veel waarde heeft.

[Verwijderd]

"Hebben ze niets anders te doen?"

Geldt dat niet voor iedere hackactie?

[Verwijderd]

Neen, dat geldt niet voor iedere hack actie. In vele gevallen komen er nog andere belangen om de hoek kijken. Als voorbeeld neem ik de aanvallen op Mastercard en Visa even mee (= niet echt een hack, maar fungeert wel als waardig voorbeeld). Deze aanvallen waren uitgevoerd als reactie op het feit dat de bankrekeningen van Wikileaks geblokkeerd waren. Er is hier dus sprake van morele belangen, waarmee de hacker uiteindelijk een resultaat probeerde te bereiken (namelijk: het opnieuw beschikbaar maken van deze betreffende bankrekeningen).

Eveneens met deze actie. Als men logisch redeneert kan je er van uitgaan dat die database een prachtige lijst met emailadressen heeft. Het verkopen van die emailadressen levert bakken met geld op, met tot gevolg dat mijnheer de hacker vanavond met zijn vrouw en kinderen niet onder een brug hoeft te liggen.

Begrijp me niet verkeerd, ik praat het niet goed. Maar uit het perspectief van deze hackers gezien snap ik hun acties wel...

Edit: Typo's , Althans...spelling was niet echt mn beste vak

[Reactie gewijzigd door Verwijderd op 27 juli 2024 21:48]

[otandreto]

en waarom dan? soms snap ik echt niet waarom ze sites/forums als dat hacken. een beetje kinderachtig

[SidewalkSuper]

Het is ze bij het hacken van zulke fora natuurlijk om passwords te doen. Dan hopen ze dat de passwords van de username op het forum gelijk is aan de password van het mailaccount / iTunes account / verzin zelf maar een belangrijke.

Die informatie wordt dan weer misbruikt of zelfs doorverkocht.

[mickvdv]

Dat denk ik niet. De wachtwoorden staan meestal gehasht (is dat een nederlands woord?) in de database. Deze zijn erg moeilijk weer terug te halen naar normale wachtwoorden. Zeker als er een salt gebruikt is. Dit kan alleen dmv. bruteforce wat per wachtwoord wel een paar dagen tot zelfs maanden kan duren.

Klikje

[SidewalkSuper]

ook voor de mensen hieronder die een reactie op mijn post hadden geplaatst:

Dat het bruteforcen van een password heel lang kan duren betekent niet dat het niet gedaan wordt, in tegendeel.
Het hoeft ook niet niet uit te maken dat die paswoorden gehasht zijn. Een salt zorgt er alleen voor dat er ook daadwerkelijk puur moet worden gebruteforcet, waardoor de gemiddelde tijd die benodigd is dus al flink omhoog gaat. Echter met een botnet / aantal dedicated pc's metsterke videokaarten is het natuurlijk mogelijk om die tijd een heel stuk om laag te brengen.

In dit geval bestaat het Winamp forum uit een VBulletin forum, wat een md5(md5($pass).$salt) hash in de database stored. Zo'n hash kan met gemiddeld ongeveer 140miljoen hashes per seconde gebruteforcet worden met 1 redelijke GPU (dit (ietwat oude) voorbeeld gaat uit van een GTS250 van inmiddels een paar tientjes)
Bij een pass van 10 lowercase letters zou je met een paar uur dan ook al gegarandeerd raak schieten.

Meeste info van hier: http://www.insidepro.com/eng/egb.shtml

[Tanksenior]

"We have confirmed that your email address was exposed as a result of this attack. We have not confirmed but must assume that other Winamp Forums user account detail, including your forums username, date of birth, time zone preference and encrypted password (not your clear text or unencrypted password) was exposed."

Als het goed is zouden ze dus alleen encrypted passwords hebben buitgemaakt, dus om die reden zullen ze het niet gedaan hebben.

[varkenspester]

Een forum zoals dat van winamp gaat echt geen wachtwoorden in plaintekst opslaan hoor. Dat doet al jaren geen enkele degelijke site meer.
Om wachtwoorden is het dus zeker niet te doen.

[donny007]

Als je hackt om aan te tonen dat iets lek is (en vervolgens het bedrijf informeert of het lek dicht) kan ik er nog wel begrip voor opbrengen maar dat Anonymous-style* vandalisme heb ik geen goed woord voor over.

_{* Niet dat ik denk dat Anonymous hier achter zit, ik heb het over de stijl waarop Anonymous haar activiteiten uitvoert.}

[Reactie gewijzigd door donny007 op 27 juli 2024 21:48]

[Verwijderd]

De hack is opgemerkt door Winamp, de hackers hebben het zelf niet gemeld.

[otandreto]

nee, maar als je iets hackt ter verbetering van de veiligheid/beveiliging is het zelfs een beroep en veel bedrijven betalen grof geld voor zo'n iemand.

[Verwijderd]

Ik snap niet echt wat hier de 'Anonymous' style van is.

Als de hacker de logins, emails en wachtwoorden op een *chan board zou plaatsen dan ja, dan zou ik het begrijpen.
Maar dit kan van alles zijn geweest wat niets daarmee te maken heeft.

Iemand die voor de lol hackt, email database download voor bewijs.
Iemand die de mail database wilt hebben voor spam doeleinden.
iemand die de accounts wilt kraken om er zelf beter van te worden, steam/itunes, etc etc.
Iemand die pissig is omdat die gebanned werd van het forum.

Kortom, het kan vanalles zijn geweest.

[Verwijderd]

Definieer Anonymous-style dan eens even? Soms vraag ik me af waar de tijd is gebleven dat mensen nog idealen hadden. Alle hack acties van Anonymous zijn doelgericht uitgevoerd. Hiermee probeer ik te zeggen dat targets niet random worden uitgekozen, maar met duidelijke motieven geselecteerd werden/worden.

Ik zie het meer als volgt (Schematje)

- Winkel berover wordt uit woede van de slachtoffers kort en klein geslagen.
- Bankrekening blokeerder Wikileaks wordt uit woede van omstanders onderuit gehaalt.

Ondanks het grote verschil van situatie blijft de reactie vergelijkbaar. Ik zal nooit claimen dat Anonymous zich bezighoud met goede dingen. Doch is ergens hun punt wel te begrijpen...

[Verwijderd]

Members: 400,476

Dat zijn een best aantal leden

Verder gebruikt 60% op het internet vaak identieke passwords aan hun mail of forum / social media. Dat wordt oppassen geblazen.

[Verwijderd]

Heb zelf mailtje gehad, dat mijn adres bij de buitgemaakte addressen hoort.

Gelukkig gebruik ik voor dit soort zaken altijd mijn SPAM-address en spam-password. Vreesde wel dat ik het passwoord op andere spamsites moest veranderen, maar net gecontroleerd, blijk ik een oud password gebruikt te hebben wat ik zelf geeneens meer weet. (Gelukkig wissel ik ze om de zoveel tijd.)

[varkenspester]

Als je het artikkel leest dan wist je dat de passwoorden niet in plain text buitgemaakt zijn.

[Verwijderd]

Heb ik inderdaad gelezen. Alleen staat er niet hoe, dus blijft het een risico. (Sowieso)

[Arie-]

Ik vind het vreemd, ik heb de mail aan mij nu twee keer gelezen, maar in mijn mail staat niets over gelekte wachtwoorden, enkel over e-mailadressen:

Hello,

My name is Geno Yoham and I am the General Manager of Winamp. Our entire team is dedicated to protecting the privacy of our users and has put extensive measures in place to ensure your information remains secure. As a result of these precautions, we quickly detected and blocked an attack on the Winamp Forums database. We have confirmed that this breach was isolated to the Winamp Forums (forums.winamp.com) site only. Other Winamp sites and products such as Winamp.com, dev.winamp.com and the Winamp Desktop Media Player were not affected in any way.

We have determined that your email address was exposed as a result of this attack, so as a precautionary measure, we recommend that you change your password on the Winamp Forums. In addition, we recommend that you change your password every few months as a best practice for keeping your information secure.

We have set up an FAQ at forums.winamp.com for answers to questions you may have related to this incident.

If you have any additional questions, please contact: [e-mail].

We apologize for any inconvenience this has caused and want to assure you that we are taking steps to ensure that your information remains secure as a part of our ongoing commitment to protecting your privacy.

Geno Yoham
Winamp

[kegeltje26]

Dat hacken is ook onzinnig. iedereen weet toch, dat wat door mensen gemaakt is, ook door mensen te hacken is? Er is geen onfeilbaar veilig systeem, de bedenker van het systeem weet altijd hoe hij/zij erin moet, denk zoals de bedenker en je bent erin.

Dus hacken is eigenlijk te vergelijken met irritant belletje trekken, je hackt, stelt het bedrijf op de hoogte, en dan vraag je eigenlijk of ze in plaats van een slot, een valhek voor hun systeem moeten plaatsen

En die hack je later natuurlijk ook gewoon weer..

[Nox]

Ik heb daar ook een accountje maar mijn password zal toch op zijn minst gehashed/gecodeerd opgeslagen zijn?

[cyboria]

Lees ff het artikel tegoei door:

maar in een mail aan gebruikers schrijft Winamp-manager Geno Yoham dat het bedrijf vreest dat ook versleutelde wachtwoorden zijn buitgemaakt.

[Verwijderd]

ach ja, iedereens email adres zit toch al wel in spamdatabases.. zie het probleem niet zo

[Nox]

Als je met het emailadres van het profiel kan inloggen op dat mailaccount heb je dus de volledige controle over de mail van diegene.

Maar gezien het versleutelde wachtwoorden zijn en mijne vrij sterk is zie ik geen reden om het te veranderen. Ik gebruik regelmatig hetzelfde password maar enkel als hij versleuteld is. Als de versleuteling gekraakt is wordt het misschien link, maar er valt geen geld te halen met mijn inloggegevens. Dieven breken ook niet in een leeg huis in.

[Verwijderd]

Tenzij je huis gordijnen heeft die dicht zitten en ze niet kunnen zien wat er in zit.

Zo zit dat ook met je e-mail.
Kijken doen ze toch, omdat ze niet weten wat er in staat.

Ben gehecht aan mijn privacy.
Zelfs al als ik ga winkelen en ze vragen om mijn adres en e-mail.
Kan k een makkelijk antwoord geven.
Nee.

Het is spijtig dat een community als winamp slachtoffer wordt van hackers.
Heb een oud beestje staan met winamp 2.71 op win98 en gebruik het nog dagelijks op mijn windows XP en 7. Global hotkeys ftw!

[wankel]

Er wordt melding gemaakt van "Hackers", maar de activiteiten sluiten meer aan bij de definitie van "Cracker".

Op een site als Tweakers mag je verwachten dat het verschil bekend is. Dat geldt voor de kop boven het artikel, maar ook voor de reacties natuurlijk!

[Devrim]

Het woord Hackers is in de volksmond bekend als iemand die computers etc. kraakt met slechte bedoelingen. Dit zal waarschijnlijk nooit meer veranderen omdat het de gemiddelde man niet zoveel boeit (en er zijn nu eenmaal meer "normale" mensen dan tweakers.) Het woord Cracker roept bij veel mensen een ander ding op. (cracker om te eten )

OT:

Ik las net het emailtje van Winamp, gelukkig heb ik steeds een andere wachtwoord op m'n belangrijke sites (Paypal-achtige sites/Mail/Digi-d etc.). Mensen zouden er aan moeten wennen steeds verschillende wachtwoorden te gebruiken voor op z'n minst de echt belangrijke sites. Doen ze dit niet kan het echt veel gezeik geven als ze op alle sites dezelfde wachtwoord intypen, en dan met name kleine sites die slecht beheerd worden...