'Anonymousleden werden slachtoffer van besmette ddos-tool'

Leden van de los-vaste hackersgroepering Anonymous zijn doorverwezen naar een ddos-tool waarin de Zeus-trojan was verwerkt. Hierdoor zijn een onbekend aantal 'hacktivisten' mogelijk bestolen van wachtwoorden en financiële gegevens.

Dat meldt Symantec op zijn website. Volgens het beveiligingsbedrijf hebben criminelen op Pastebin een oude Anonymous-posting gekopieerd en in het document de link naar de ddos-tool Slowloris aangepast. Dit gebeurde kort nadat in opdracht van de FBI de filesharingsite MegaUpload uit de lucht was gehaald wat zorgde voor veel activiteit binnen Anonymous. De link zou verwijzen naar een versie van Slowloris waarin de beruchte Zeus-malware was opgenomen. Ook werd rond 20 januari een 'ddos-handleiding voor beginners' op Pastebin geplaatst waarin dezelfde link werd aangeboden.

Volgens Symantec is de besmette Slowloris-tool vermoedelijk duizenden keren binnengehaald, nadat Anonymous-leden ddos-aanvallen begonnen uit te voeren uit protest tegen onder andere het sluiten van MegaUpload. Ook zou onder andere via Twitter nog steeds worden verwezen naar de handleiding op Pastebin.

Nadat de besmette versie van Slowloris wordt geïnstalleerd, zal de Zeus-trojan ongemerkt een botnet-client activeren en zich proberen te verbergen door zich voor te doen als de Slowloris-executable. Hoewel Zeus ook ingezet kan worden als een ddos-tool, wordt de malware vooral gebruikt om wachtwoorden en financiële data buit te maken. Daarnaast is Zeus moeilijk te detecteren en lastig te verwijderen van Windows-systemen.

Reacties (90)

Dan ben je lid van een hackerscollectief maar denk je er niet bij na dat er virussen in de tools kunnen zitten, dan ben je niet echt goed bezig als je het mij vraagt.

En ik vraag mij dan af of zelfs voor zulke code geen md5-hash gemaakt wordt. Nu ben ik wel benieuwd wie Anonymous zo (kinderlijk eenvoudig) een hak zet.

de meeste mensen van Anonymous zijn geen echte hackers, amar mensen die LOIC gebruiken of een andere tool waarnaartoe gelinked wordt, meestal doen ze gewoon mee omdat ze het ideaal van anonymous sympathiek in de oren klinkt, en ze schijnen vaak jong te zijn.

dus ideaal doelwit, mensen letten zelf niet op, onbekend met dit soort tools en zouden nooit merken dat er iets bij mee geinstalleerd wordt aangezien dit wel "hackers" tools zijn, dus kan wel zijn dat dat een beetje raar reageert.

erg slimme aanval, geraffineerd, maar vooral erg vervelend voor de getroffenen, al is het natuurlijk wel een beetje hun eigen schuld aangezien ze zelf ook meedoen aan "illegale activiteiten"

En ik vraag mij dan af of zelfs voor zulke code geen md5-hash gemaakt wordt.

de meeste mensen van Anonymous zijn geen echte hackers,

Daarom dus. Ik geloof zo dat 90% van de mensen die zichzelf associeren met Anonymous gewoon meelopers zijn en blindelings de instructies van 'het collectief' opvolgen - en vertrouwen, natuurlijk.

Overigens, het lijkt me niet moeilijk om een nieuwe MD5 van de tool met de trojan te maken en die ook in de pastebin met instructies te zetten.

Zolang Anonymous geen officiele organisatie is met een centrale, vertrouwde bron of bronnen of 'kernleden' / leidinggevenden zul je dit soort incidenten blijven houden.

[Reactie gewijzigd door YopY op 4 maart 2012 11:00]

precies, stelletje scriptkiddies die zich helemaal geweldig vinden blijkt zo maar weer, daarbij zou ik persoonlijk nooit zoiets doen op mijn eigen pc maar, maar een VM gebruiken of desnoods zelfs een andere pc/HDD

[Reactie gewijzigd door [Remmes] op 4 maart 2012 11:36]

technisch gezien wel, maar er is meer in de samenleving dan alleen maar computer geek,

je gaat me toch niet vertellen dat jij werkelijk geloof dat alle FNV leden exact weten begrijpen en voorzien waarom ze naar den haag worden geroepen... gewoon een stelletje werkzieke meelopers dus... (note the sarcasm plz)...

Goed gezien.

Wat me opvalt is dat dit keer de groep mensen die de Anonymous uithangt geen botnet meer tot hun beschikking lijken te hebben om hun DDOS aanval uit te voeren. Naar mijn mening heeft een echt goed ingevoerde computer inbreker wel toegang tot zoiets, of hij maakt er zelf een.

Gezien wat er allemaal mogelijk is, is het echt een zwaktebod van die gasten om een stel jonge meelopertjes als armelui's botnet in te zetten.

Het merk "Anonymous" kent iedereen wel, maar zo langzaamaan lijkt het me duidelijk dat de groep een even duidelijke structuur kent als een zwerm spreeuwen. Een sterk wisselende samenstelling van gelegenheids-inbrekers die hier nu gebruik maakt van social engineering om een groep meelopertjes te activeren.

En argeloze meelopertjes zijn het wel die een tooltje als LOIC activeren op een doelwit buiten hun eigen LAN. Ik bedoel maar, jouw eigen IP adres wordt breeduit rondgespammed zodra je het gebruikt, en je adverteert jezelf daarmee als computer-vandaal voor iedereen die het wil weten. Dit in tegenstelling tot echte computer inbrekers die er alles aan zullen doen om hun IP adres te maskeren (te beginnen met het overnemen van andere machines ergens in het Internet en van daaruit werken).

Goed gezien.

Wat me opvalt is dat dit keer de groep mensen die de Anonymous uithangt geen botnet meer tot hun beschikking lijken te hebben om hun DDOS aanval uit te voeren.

Toen nog niet, maar nu weer wel als ik dit artikel zo lees.

Dit gebeurd al jaren, trouwens. Op boards als 4chan's /b/ worden mensen aangespoord om acties uit te voeren en krijgen ze een linkje naar mediafire of rapidshare voor LOIC. Als je een botnet wilt starten dan is dit de manier. Je hebt de garantie dat je wat slachtoffers maakt zo.

Gebeurde zelfs al voor 4chan bestond. Bekende tool vroeger was subseven waarmee je bijvoorbeeld iemand zijn cd speler kon openen. Tool scheen echter zelf ook stiekem een trojan te zijn....

Wel eens een zwerm spreeuwen zien vliegen? Hier zie je een staaltje onderlinge communicatie waar wij als mensen nooit aan kunnen tippen!

De structuur, dat je alleen met je directe buren communiceert maar toch met z'n allen als één geheel opereert is een vaardigheid die menig groep mensen graag zou willen hebben. Van computer activisten op militante opstandelingen.

In dit geval is het natuurlijk een zielige vertoning waar waarschijnlijk een hele verzameling enthousiaste kids/jongeren/meelopers/vulZelfMaarIn, ongelofelijk bij de neus zijn genomen.

Wat een loze reactie is dit? Anonymous heeft geen beschikking over een botnet nodig, Anonymous is zelf een levend botnet. Wat wil je nog meer dan iedere client in je netwerk p2p te kunnen vertellen waar en wanneer het volgende target aangevallen wordt?

Het doel van Anonymous is het anoniem blijven wanneer er onder de naam geopereerd wordt. Dit doen ze tot voor noch toe redelijk goed. Je kan niet zomaar zeggen dat "Anonymous" dom of zwak is. Heel het punt van Anonymous is dat iedereen anon is... Voor hetzelfde geld zitten je buurman, of je oom, of een aantal van die FNV leden die niet weten waarvoor ze naar Den Haag moeten lekker mee te ddossen met hun LOIC tool. Ze zijn niet allemaal hackers, maar hebben allemaal hun eigen professie waarbij de een dus (online) meer weet waar die nou eigenlijk mee bezig is dan een ander, terwijl ze online altijd elkaars gelijke zijn; ze zijn tenslotte allebei anon.

Anon hoeft niet zo snel mogelijk zoveel damage te doen; anon heeft tijd. Het grote verschil tussen hackersgroeperingen en "anon" is dat een hackersgroepering nooit (bijvoorbeeld) meer als 20 leden zal hebben. Anonymous telt een groot aantal individueen die staan voor een ding: net neutraliteit. (en kaaspizzas, de viespeuken)

Een MD5 hash gaat niet veel uithalen, door gebruik te maken van MD5 collisions kan je al langer van een gemanipuleerde file een zelfde MD5 hash genereren als het originele.

Waar en niet waar RFC is na de MD5 collision weer wel aangepast voor veiligheidsdoeleinden in 2011

even wat bronnen :
MD5 History (laatste alinea)

MD5 Security

MD5 Colliison hack

Lang verhaal kort een MD5 had zeker wel een boel veiliger kunnen maken maar in theorie had deze ook weer gehackt kunnen worden maar dat had een hoop meer moeite gekost.

Kortom een md5 gebruiken is altijd aan te bevelen maar biedt je nooit 100% veiligheid.

Dus eigenlijk wil je het signen met PGP
sowieso, als je hashes wilt gebruiken moet je toch al lang over zijn op sha2 oid

Zoals hierboven ook al is gemeld, dit maakt niet echt uit. Aangezien er geen officiële bron is die de hash kan geven kan er net zo goed een nieuwe hash worden gemaakt. De hash kan wel kloppen en geeft dan aan dat er niet met de trojan is gerommeld door weer iemand anders

Jij zegt het, weer wat geleerd :-P.

Daarom gebruiken veel dingen ook meerdere checksums.

Probeer maar eens 1 en dezelfde collision te vinden voor een md5, sha1 en rmd160 bijv. Denk niet dat dat je gaat lukken.

Zal wel zo'n dude van Anonymous zijn, .

Pffff.. denk je nu werkelijk dat die sukkels ook maar een md5 hash controleren? naast het feit dat je natuurlijk in de nieuwe post gewoon de md5 hash zet van de 'besmette' tool..

Tja, ik probeerde ook nog een code-signing certificate te verkrijgen op naam van "Anonymous Hacktivists" ... [/phunintended]
Helaas ging mijn Certificate Authority niet akkoord met die tenaamstelling; ik moest dan eerst een 'legal entity' (bedrijf/rechtsvorm) oprichten met die naam. Laat dat nou net iets zijn wat je als anonymous aanhanger vooral niet moet willen.
Dit misschien een optie:
http://technet.microsoft.com/en-us/library/cc501466.aspx En dan gewoon ala monkeysphere inzetten. Helaas is er dan geen effectieve TTP in het verhaal.

Inherent aan het "los-vaste" karakter vermoed ik. Ik weet ook eerlijk gezegd niet of je wel kunt spreken van "Anonymous-leden". Een hoop jonge gasten die zich vervelen en even aan willen sluiten "bij de grote stoere hackers" doen ook mee onder naam van Anonymous.

De echte grote jongens zullen denk ik wel beter op hun tellen passen dan a) zomaar een willekeurige tool los te laten op hun eigen pc zonder deze gecheckt te hebben b) zonder extra beveiliging, dan wel controle, dan wel gezond verstand hun pc laten infecteren.

[Reactie gewijzigd door Eagle Creek op 4 maart 2012 10:38]

Er ging toch langer een gerucht rond (bron kwijt, excuses) waar Anonymous zelf zei dat ze niet altijd te maken hebben met wat er soms gebeurt. Iedereen kan Anonymous als naam gebruiken, het kan net zo goed Anonymous zijn geweest die wou kijken wie de meelopers zijn om ze gewoon zo 1 voor 1 op te laten hoepelen.

Ik zeg niet dat dit waar kan zijn, maar zelfs normale en meewerkde (niet de meelopende) Anonymous-members weten dat ze niet zomaar een link drukken dat op de imageboards worden gepost net als 4chan en 7chan en al die andere imageboards. Het is altijd common sense geweest, en ze hebben blijkbaar al jaren lang last van de jongeren meelopers plaag.

Edit1: Ik ga maar eens een dyslexie test af laten nemen... ik vergeet woordjes.

[Reactie gewijzigd door Phntm op 4 maart 2012 11:20]

Een beetje hacker heeft geen privacy-gevoelige informatie op zijn "werkcomputer" staan. 100% succesvolle beveiliging tegen diefstal van je gegevens.
Vervolgens gaat ie ook geen gedownloade rommel native op zijn systeem uitvoeren. Daarvoor zijn er VM's, sandboxes, jails en live-systemen. Zo moeilijk is het allemaal niet.
Als je systeem ongemerkt ergens succesvol mee besmet wordt betekent dat eigenlijk dat je je eigen computer niet onder controle hebt en een nephacker bent.

Overigens denk ik dat de term Anonymous al lang achterhaald is. Iedereen die zijn identiteit niet vrijgeeft is anoniem. En aangezien er op een paar IRC channels na geen enkele organisatiestructuur is die zichzelf controleert kan iedereen te pas en te onpas de naam gebruiken en misbruiken. Waarschijnlijk is dat over een aantal jaar nog steeds zo en verliest het idee langzaam maar zeker zijn betekenis.

edit: worden=wordt

[Reactie gewijzigd door blorf op 4 maart 2012 12:21]

Denk je nou echt dat de meeste van die gasten slim genoeg daarvoor zijn...?

Punt is, vaak worden die tools al als vervelende software gezien door een goede anti-virus.
Dus dan denkt zo'n persoon van: ja maar dat is eigenlijk niet zo...
Maargoed, het blijkt dus dat deze hackers die zo goed zijn in het kraken van dingen zelf de security ook niet helemaal op orde hebben

Ah joh dat zijn toch allemaal 16-jarige puistekoppen die dat soort tooltjes uitproberen.

In het plaatje b) staat de link van multiupload. Met .nl erachter.

Betwijfel trouwens de betrouwbaarheid van dit bericht. Zouden ze echt zo simpel zijn?

Welk voordeel heeft Symantec bij het verspreiden van een nepbericht?

Virusscanners verkopen. Als Symantec een artikel publiceert over een nieuw, gevaarlijk virus dat de hele wereld overgaat worden mensen weer bang voor virussen en zoeken ze bescherming.

zit niet iedereen al op <oude versie van norton hier> die continu zit te bitchen dat je een license koopt waar iedereen gelijk op kruisje drukt

Yep, Anonymous is echt zo simpel. Vergeet niet dat anonymous (misschien) bestaat uit 50 echte leden en x miljoen zombies.

Die echte leden raak je niet zomaar, maar die zombies die met 1 tooltje / klik denken mee te werken aan anonymous, tja die zijn braindead...

Ik vraag me af 'wie' nu precies deze actie heeft uitgevoerd. Perfecte manier om van Anonymous leden informatie te verzamelen ten bate van toekomstige vervolging.

het lijkt me HEEL sterk dat anonymous leden hun eigen computers gebruiken om ddos aanvallen uit te voeren. als dat zo was waren ze AL LANG allemaal opgepakt.

nee, dit zijn echt niet meer als een stelletje meelopers geweest.

Jij overschat anon dan sterk. Zijn gewoon jochies van 16-17 die tutorial volgen.

Hackers die Windows draaien? Dan nog, niet apart in een VM en sandbox en daarna een snapshot gebruiken? En niet de tool en het uitgaande verkeer controleren als ze bezig zijn? Ik vind het amateuristisch als dit verhaal van Symantec klopt.

Ik vind het amateuristisch als dit verhaal van Symantec klopt

Duh, het overgrote deel van de Anonymous aanhangers is amateur.

Horen hackers niet met linux te werken, Ik zou toch nooit zulke activiteiten doen vanop een native windows installatie.

Waarom denk je dat? Niet dat ik het direct met je oneens ben overigens.

Ik weet het antwoord wel denk ik. Unix/Linux is traditioneel het terrein van de hackers. En dan bedoel ik hackers zoals ze eigenlijk gedefineerd worden. Namelijk, mensen die zich ervan op de hoogte willen stellen hoe een computer precies werkt en die in staat zijn om middels software de computer precies datgene te laten doen wat ze willen dat de computer moet doen. Of ze er dan vervolgen iets 'slechts' mee doen is een tweede (black of white). In die definitie kan ik mij trouwens ook het beste vinden.

Bij de hacker in de enge zin van het woord (inbrekers) krijgen veel mensen zo'n soort 'The Matrix'-plaatje in het hoofd met allerlei groene getallen geschreven in Courier New op een zwarte achtergrond al dan niet voorzien van een coole animatie waarbij dan bij voorkeur enen en nullen door het beeld vliegen. Dat ziet er leuk uit maar dat is het dan ook. 'De hacker' gaat dan vervolgens via reeds geprogrammeerde tools een site aanvallen. Dat zijn dus de scriptkiddies. Ontwikkelen ze die tools zelf dan zijn ze wat mij betreft echte hackers die aan de verkeerde kant van de wettelijke grens zijn beland. Ik heb voor zowel de scriptkiddie als de black hat hacker evenveel respect namelijk geen.

Voor die eerste categorie hackers (de echte hackers dus) maakt het niet zoveel uit wat ze gebruiken. Als ze via Windows datgene gedaan krijgen wat ze willen dan is het goed. Maar volgens mij is het wel zo (heb ff geen bron) dat veel hackers Linux gebruiken. Simpelweg omdat het OS opensource is en dus eenvoudiger de mogelijkheid biedt om je te verdiepen in alle onderdelen van het OS. Dat kan voor Windows ook wel maar daar zal Microsoft gedoseerd aan meewerken. Ik heb nu toevallig een boek voor me die ingaat op besturingssystemen en daar wordt zowel Linux als Windows uitgebreid doorgelicht. Toch zie je dat het voor de auteur makkelijker is om de innerlijke werking van Linux uit te leggen. (Modern Operating Systems van Andrew Tanenbaum, kost een godsvermogen maar een echte aanrader)

Kortom, hackers werken denk ik ook vaak met Linux. De vraag is dan wel wat je verstaat onder hacker.

Het grootste gedeelte van de mensen die die tool hebben gedownload waren waarschijnlijk scriptkiddies. Het zou me nieteens verbazen als hogergeplaatste anons de trojan erin hebben geplaatst, om hun 'legioen' wat te versterken.

Erg slim van deze kwaadwillenden.
Een hoop wannabees en script kiddies zullen aan dit soort 'oproepen' gehoor geven om er bij te horen. Zij zullen dit soort dingen installeren op hun PC met hun gewoonlijke OS, zonder iets te checken of te wantrouwen, en zo flink tegen de lamp lopen.
Terwijl de echte hackers dit uitvoeren op een one-off installatie of image/VM die ze speciaal voor dit soort praktijken gebruiken, en zo dus geen hinder ondervinden.
Tevens de kracht van 'Anonymous' is hier zichtbaar: veel kleintjes doen mee en worden mogelijk gepakt, terwijl degenen die beter weten waar ze bezig zijn buiten schot blijven. En de kleintjes weten niets, dus loopt het spoor daar dood.

Om in het nieuwsartikel dan ook te spreken over "Anonymousleden" is wat dubieus imo. Ja, deze mensen doen mee met de 'beweging', maar ze zullen niet onder daadwerkelijke leden vallen, als je uberhaupt al kunt spreken van leden van een begrip. Er zal best een groep hackers zijn die direct verbonden zijn met Anonymous, maar "Anonymous" is tevens een masker die ieder (jij, ik, jan-met-de-pet) op kan zetten om mee te doen.
"We are legion" put daar zijn kracht uit: elk persoon kan zichzelf als "lid van Anonymous" benoemen zoals ik het zie.

[Reactie gewijzigd door Ultraman op 4 maart 2012 11:29]

... Heb zo'n annon handleiding gezien.
De "echte" annons zijn paranooia en zullen hun pc's bijna hellemaal dicht gooien De enige die ze hie pakken zijn inderdaad de scriptkidies en aanhangers.

hahahaha, Karma anyone? Bewijst maar weer dat het overgrote deel van Anonymous niets meer zijn dan scriptkiddies die blind de meute volgen zonder dat ze weten wat ze doen...

zoals hierboven ook al enkele keren vermeld is: wanneer ze echt wisten wat ze deden dan hadden ze of eerst de code wel eens doorzocht of de tools van een betrouwbare bron gehaald. Mocht die bron toch nit zo betrouwbaar blijken dan is het in mijn ogen een schitterend koekje van eigen deeg!

Het doel van Anonymous is in mijn ogen niet altijd even slecht, de middelen daarentegen wel dus ik kan hier echt alleen maar om lachen!

Oh komaan, wat websites platgooien, wat dreigementen rondstrooien, ... ik ben het met je eens dat het maar een zootje ongeregeld is, en dat ze zichzelf nogal te kakken zetten. Maar "doel"??? Niet meer of niet minder dan een beetje online vandalisme. Gezellig vanachter je bureau.

Dus dit is een Windows tool met een Windows trojan? Wie wil gaan hacken op Windows is een beetje dom bezig mi. Een serieuze hacker gebruikt toch gewoon virusongevoelig Backtrack Linux?

Een echte serieuze paranoia hacker compileert alles lekker zelf, Backtrack Linux is voor luie honden en leuk voor mensen die eens wat willen knoeien en wellicht voor script kiddies die op school komen met hun "hack cd" om leuk aan klasgenootjes te laten zien en stoer te doen..

Als je iets goed wil doen moet je het zelf doen