Dropbox: geen aanwijzingen voor hack na spamronde

Dropbox heeft geen aanwijzingen gevonden voor een lek waar hackers gebruik van gemaakt zouden hebben om gebruikers van de dienst massaal te spammen. Mensen klaagden over spam op adressen die ze alleen voor Dropbox gebruikten.

"We hebben tot nu toe geen inbraken in onze interne systemen en geen ongeautoriseerde activiteit bij Dropbox-accounts kunnen waarnemen", zegt Graham A. van het Dropbox-team op het forum van de dienst. Een extern team van beveiligingsonderzoekers deed onderzoek naar een mogelijk lek, nadat gebruikers van Dropbox massaal klaagden op het forum van de dienst dat ze reclamemailtjes kregen op hun mailadressen.

De reden dat een lek werd vermoed is dat sommige gebruikers aangaven spam te ontvangen op mailaccounts die ze alleen aan Dropbox hadden gekoppeld. Dropbox geeft aan zijn gebruikers op de hoogte te houden van het verdere verloop van het onderzoek en dat dit soort onderzoeken de nodige tijd in beslag kunnen nemen. De Nederlandse gebruiker Jan-Willem G. wijst er op het Dropbox-forum op dat het dan nog wel vroeg is om een hack uit te sluiten. Diverse gebruikers uit onder andere Duitsland melden nog steeds spam te ontvangen van bijvoorbeeld Euro Dice, terwijl anderen laten weten dat geen mails meer ontvangen te hebben nadat ze hun e-mailadres in Dropbox gewijzigd hadden.

Dropbox kampte vorig jaar met een beveiligingslek. De beveiliging van online opslagdiensten staat erg in de belangstelling omdat de populariteit van dit soort diensten sterk toeneemt en mensen vaak privacygevoelige gegevens opslaan.

Reacties (27)

[- peter -]

Ja, ik heb nog steeds idd spam op mijn dropbox mail. Kan toch niet anders dan dat 't gehackt is? Ik gebruik het nergens anders voor.

[Neo_TGP]

Heb je toevallig via een refferal aangemeld? De persoon via wie je aanmeld heeft namelijk toegang tot alle mailadressen van de mensen die via jou aanmelden..

[Sorcix]

Inderdaad, en in sommige gevallen zijn dit heel veel mensen.

Zo heb ik bijvoorbeeld gebruik gemaakt van Google Adwords om mijn referal link te promoten, en op die manier heb ik héél veel mensen aangemeld. Ik heb zo toch wel toegang tot een 100-tal e-mail adressen (spijtig genoeg krijg je na een bepaald aantal geen extra ruimte meer, maar de e-mail adressen krijg je wél!)

Het is dus heel goed mogelijk dat op deze manier e-mail adressen zijn geharvest, en ik hoop dat Dropbox ze dan ook verbergt.

[Reactie gewijzigd door Sorcix op 23 juli 2024 15:39]

[- peter -]

Nee, nooit een referral link gebruikt zover ik weet.

[Verwijderd]

Ik heb geen spam van euro dice op mijn dropbox email adres.

Ik heb mij wel een keer met dat adres bij blizzard real id geregistreerd om de trail van starcraft 2 te kunnen gebruiken.
Sindsdien ontvang ik spam mailtjes dat mijn world of warcraft account gehackt is,
ik heb dat spel nooit gespeeld dus dit is onmogelijk.
Het is ook de enige spam die ik op dat adres krijg.

Is blizzard nu gehackt ?
Nee dat lijkt mij onwaarschijnlijk (net als dropbox), maar bijvoorbeeld een webcrawler op zetten om de openbare emails te scannen van nieuwe gebruikers (voordat je je adres verbergt) is vrij simpel te doen.

[J.J.J. Bokma]

Aan de andere kant krijg ik nooit email dat mijn WoW account gehackt is. Misschien iets om over na te denken....

[Cis]

Hoe kun je nou ineens -geen- spam meer ontvangen op dat emailadres...? Emailadressen die eenmaal zijn opgenomen in een spam-emailbestand, zullen nog jaren target blijven van spamactiviteiten...

[Stoney3K]

Hoe kun je nou ineens -geen- spam meer ontvangen op dat emailadres...? Emailadressen die eenmaal zijn opgenomen in een spam-emailbestand, zullen nog jaren target blijven van spamactiviteiten...

Tot het botnet wat de spam verstuurt natuurlijk uit de lucht wordt geschoten.

[J.J.J. Bokma]

Heh, er is natuurlijk maar 1 botnet he? Nee, zoals Cis al aangaf: krijg je eenmaal spam op 1 email adres, dan blijft dat komen.

En jaren? Maak daar gerust decaden van.

[JanWillemGM]

Toevallig is het wel erg waarschijnlijk dat het hier slechts om 1 botnet gaat, omdat de mails allemaal over casino's gaan binnen hetzelfde refferal programma. Het botnet blokkeren is echter onbegonnen werk, al kom je met reguliere spam blocklist providers al een heel eind. Het is echter makkelijker om de casino's (SP Casino, Euro Dice, ed.) te blokkeren in een content filter.

Het ineens geen spam meer ontvangen lijkt mij ook erg onwaarschijnlijk, ik vermoed dat hiermee wordt bedoeld dat na het aanmaken van een nieuw mailaccount er niet nieuwe spam werd verzonden naar het nieuwe account.

Of het werkelijk een hack is zullen we waarschijnlijk niet snel achter komen. Goed dat Dropbox een extern team heeft ingehuurd om dit uit te zoeken, imho geeft dat een iets betere indruk dan dat ze het zelf proberen uit te zoeken.

Ik vind trouwens wel dat Dropbox met weinig alternatieven aan komt zetten. Dat verhaal van de refferals, onbeveiligde verbindingen, dat de mail onderschept werd, een afluisterende ISP, ed. is allemaal afkomstig van de user base. Zolang Dropbox die alternatieven al niet serieus neemt moeten de emails toch ergens anders vandaan komen. Het gebeurt natuurlijk niet zomaar dat honderden gebruikers op een specifiek email adres voor een betaalde dienst spontaan toegevoegd zijn aan een spamlist.

Dat is ook de reden dat ik op het forum wijs op het feit dat het nog te vroeg is om een hack uit te sluiten. Gezien de omstandigheden lijkt het nog weldegelijk waarschijnlijk dat er ergens iets gehacked is, al is dat bij Dropbox of elders. Maar ik sluit ook niet uit dat de data is verkregen bij eerdere lekken, en nu pas is doorverkocht of verwerkt.

EDIT:
De volledige lijst met casino's (Dirk K op pagina 6)

• EuroGaming Palace
• Euro Gaming Palace
• Premier Players Club
• PP Club
• Premier Winners
• Club Premier Winners
• Premier Gaming
• SP Gaming Club
• PPC Support
• VegasVirtual
• Vegas Club
• Vegas Virtual Club
• sp club
• SP Casino
• Bet2day Support
• Euro Dice Stars
• EU Dice Club

Meer info over het affilate programma in de post van Adam H op pagina 7:

After a little investigation I might shed some light on this spam.

All you can do on the spamvertized websites is download a casino-client binary. The file SetupClubdice_21756e.exe (MD5 881e3d78c9ce1fd9a2a6372219b6cc8b) is harmless. It has been known since early 2011 and although it is recognized by some antivirus platforms as "suspicious" (https://www.virustotal.co...e8c5/analysis/1342613446/), it doesn't do anything like steal your data or connect to C&C (http://anubis.iseclab.org...35b7c672fd3f3&format=html). Instead, it's part of a referal program called AffClub (https://www.affclub.com/). You can see all the brands on their webpage - Euro Dice is one of them (brand list helps to set up spam filters).

Full analysis of the binary file can be found here: http://eureka.cyber-ta.or...c9ce1fd9a2a6372219b6cc8b/ - check strings or DNS - it's just a program affiliate, who gets $150 for every user he drags into one of those casinos.

This is also the reason US customers will never see this spam - US is on their "forbidden" list

"As of 2nd October 2006 our definition of Real Money Players will no longer include players who are located within the US. The Unlawful Internet Gambling Enforcement Act of 2006 will prevent us from accepting U.S. consumer deposits for the purpose of betting or wagering. Since we will not be able to generate any revenue from new or existing US players in the future, we will not be able to pay out any revenue share for existing users or CPA payments for new users coming from the US."

Ik ben het trouwens niet helemaal eens met Adam dat het bestand er onschuldig uitziet, het zou volgens mij zomaar kunnen dat de spam ook wordt verstuurd vanaf die clients. Maar ik ben niet bekend met de website waar hij naar linkt.

Nog steeds een intressante mogelijkheid, waar verbazend weinig aandacht voor is, is de sniffer , genoemd op pagina 4 door Even E.

It sounds like a German or European ISP (possibly back end provider) may a sniffer on a major router. I found one on a California ISP once that was collecting emails and login/passwords to adult sites.

EDIT2:
Ik ontving trouwens deze spam al langer. Het specifieke botnet is dus inderdaad al langer actief. Het is een vrij intelligent botnet, wat vrij beangstigend is, omdat het connecties legt en die in de CC zet. Zo ontving ik een CC van de spam die mijn collega's in het zelfde domein kregen, en vice versa. Dit is verband hebben ze waarschijnlijk niet via (de traffic naar) de mailserver kunnen leggen, want wij mailen intern via onze eigen server en secured. Maar de adressen zijn wel online te vinden.

In ieder geval, mijn eigen spam is dus niet direct terug te brengen op Dropbox, en bovendien heb ik geen Dropbox-specifiek emailadres. Wel krijgen collega's die de spam normaal nooit kregen (en anonieme adressen hebben, m.a.w. niet in Google index), en wel een Dropbox account hebben, sinds enkele dagen massaal (tussen de 1 en 30x per dag) spam van de desbetreffende casino's. Overigens zijn er op het forum ook alarmerende meldingen over CC's, zelfs naar bijvoorbeeld klanten waar zij drie jaar lang geen contact meer mee hadden gehad.

[Reactie gewijzigd door JanWillemGM op 23 juli 2024 15:39]

[Glodenox]

Zou het ook niet gewoon kunnen zijn dat die e-mailadressen gelekt zijn via de "sharing tools" voor Dropbox? Het is namelijk zo dat als je een bestand deelt met iemand anders, dat die persoon een mail krijgt met een "Reply-To" naar je dropbox adres. Als die andere mensen hun account tijdelijk overgenomen wordt, kan er zo spam verstuurd worden, ook al hebben mensen een alias adres als "[e-mail]" hebben ingegeven.

Dat het dan ineens veel spam op hetzelfde moment is, kan ook gewoon zijn dat er een persoon een hele tijd dat soort mails heeft zitten verzamelen en pas op een bepaald moment en masse spam begon te versturen. Maar het kan natuurlijk ook nog altijd gewoon een beveiligingslek zijn natuurlijk

[IgorH]

Lijkt mij een beetje onwaarschijnlijk. Wie gaat nou "ik-weet-niet" hoelang wachten op allemaal die mails en dan pas gaan spammen? Dan moet je wel echt een kick hebben op "andere mensen lastigvallen met spam" om daar zoveel moeite voor te moeten doen...

[Glodenox]

Mja, fair point. Het lijkt me alleen doenbaar mocht er op de zwarte markt een databestand zijn met de inhoud van mensen hun mailbox en dat de persoon zich specifiek op dat type van mails richt. Maar ik moet wel toegeven dat het vrij ver gezocht is.

[mvdejong]

Vroeger waren spammers zelf actief in het verwerven van adressen, maar tegenwoordig is het voor spammers veel interessanter om adressen te kopen, het zijn over het algemeen geen spammers die dit soort verzamelingen aanleggen, maar technisch onderlegde hackers, die de adressen verkopen. Een voldoende grote verzameling actieve mail-adressen, heeft grote waarde voor spammers, zeker indien gekoppeld aan een bepaald gedrag, omdat dan gerichter kan worden gespamd.

Het is dus zeker de moeite om te wachten totdat je een voldoende grote collectie adressen hebt. Door te wachten met het verkopen voorkom je dat een eventueel lek al wordt gedicht terwijl de verzameling nog in zijn kinderschoenen staat.

Zo gaat het tegenwoordig ook met skimmers van pinpassen. Ze wachten eerst een tijd met het leeghalen van de rekeningen, om te voorkomen dat de banken te snel a.d.h.v. de betalingen van de gebruikers kunnen uitvissen in welke buurt de skim-apparatuur was geinstalleerd, en te snel de passen blokkeren. Dan, als ze voldoende passen geskimd hebben, werken ze die hele verzameling in korte tijd af.

[Infor40]

Toch wel een beetje vreemd verhaal. Als je geen spam meer zou ontvangen zodra je je mail bij dropbox verandert zou dat betekenen dat de hackers niet alleen informatie buit hebben gemaakt maar actief gebruik maken van de servers van dropbox. Nu weet ik niet zo heel veel van dat hacken enzo maar het lijkt me dat actief van een database gebruik maken makkelijker op te sporen valt dan informatie buit maken.

Daarbij, hoeveel gebruikers gebruiken werkelijk hun mailadres uitsluitend voor dropbox? Dat lijken me er maar zeer weinigen.

[Reactie gewijzigd door Infor40 op 23 juli 2024 15:39]

[wizzkizz]

Per website een uniek e-mailadres is minder moeilijk dan het lijkt hoor. Als je een eigen domein hebt, kunt je een account instellen als catch-all en alle e-mail voor niet-bestaande accounts komt in dat account binnen. Dan kun je dus elk willekeurig e-mailadres gebruiken.

Met gmail kun je de +-truck gebruiken, dus bijvoorbeeld [e-mail]. Je krijgt dan effectief ook een uniek e-mailadres voor de service. Dus kan gemakkelijk als je dat wilt. Ik doe dat ook voor elke site, om spam oid terug te kunnen traceren. (gebruik uiteraar de eigen-domein variant en niet gmail )

[woekele]

Misschien een oude harde schijf/usb-stick van een developer afgedankt met gegevens erop (onvoldoende gewist). Dan vind je binnen het bedrijf geen tekens van een hack, maar liggen de gegevens toch op straat.

[Glodenox]

Dan vraag ik me toch af wat die adressen op die harde schijf/usb-stick stonden te doen. Dat soort gegevens hoort thuis in een databank en hoort daar te blijven. Enkel om te testen kan je misschien wat data uit de productieomgeving halen, maar dan nog ga je niet zoveel adressen vrijgeven. Blijft natuurlijk wel een optie want er zijn nu eenmaal mensen waarbij common sense voor security zwaar uncommon is.

[huntedjohan]

begrijp niet helemaal wat het commentaar van die nederlander in dit verhaal doet, want dat gebruikers van dropbox nu willen dat het bij dropbox ligt om zo niet de schuld bij zichzelf te hoeven zoeken in logisch, en dat ze dus nooit willen toegeven dat het eventueel niet bij dropbox ligt.

als een extern beveiligings bedrijf er aan werkt heb je er meer aan om gewoon af te wachten als op een forum dat soort onzinnige uitspraken te doen.

lijkt me ook vreemd dat bij verandering van email adres spam ineens ophoud. dropbox kan geen lek vinden (zeggen ze), dus ze hebben in die zin waarschijnlijk ook niets veranderd aan de beveiliging. als ik dan dus mn email adres verander zouden de hackers toch vanzelf mijn nieuwe email adres in hun database krijgen waardoor ik op het oude en op het nieuwe adres een automatisch spam bericht krijg.

zal zo even kijken of in mn spam box euro dice mailtjes zitten. komt me zo niet bekent voor terwijl ik toch ook al tijdje dropbox gebruik. (geen enkel euro dice mail kunnen ontdekken, dus gelukkig hebben ze mijn email adres niet van dropbox gekregen )

[Reactie gewijzigd door huntedjohan op 23 juli 2024 15:39]

[J.J.J. Bokma]

Waar rook is, is vuur he? Het is inderdaad erg vreemd als je *alleen* op je drop box account spam krijgt. En als je daar een ander email adres invult, dat het dan stopt.

Ik heb 2 domeinen en ik krijg vaak spam op beide domeinen tegelijk. Als ik een specifiek account aan zou maken voor een bepaalde dienst en krijg daar spam op gerelateerd met die dienst dan zal ik ook tot de conclusie komen dat er iets vreemds aan de hand is met die dienst (wat vaak precies de reden is waarom veel mensen per dienst een email adres aanmaken).

Enne, raak alsjeblieft niet onder de indruk van een kreet als "extern beveiligings bedrijf". Als je ziet hoeveel sites wekelijks met de billen bloot gaan vanwege SQL injecties of andere hacks waardoor duizenden zoniet miljoenen gebruikersgegevens op straat liggen is het duidelijk dat het hele begrip "veiligheid" met een flinke korrel zout moet worden genomen.

Tenslotte: een hack geeft niet altijd (meestal niet) onbeperkte toegang, en dus actuele gegevens. En hoeft verder niet compleet te zijn (dus: niet alle gegevens). Kan een erg goede reden zijn waarom als het email adres veranderd wordt er /geen/ spam op komt.

[ZeroXT]

ik vond het al vreemd dat ik verschillende e-mails kreeg van Euro Dice. Na 3 e-mails heb ik deze maar geblokkeerd in mijn mailserver.
Nu weet ik in ieder geval waar het vandaan komt. Zal gelijk mijn e-mailadres wijzigen in Dropbox. Wellicht dat het helpt om eventuele toekomstige hacks bij Dropbox tegen te gaan met betrekking tot spam.

Nu maar hopen dat degene die de e-mailadressen heeft ze niet weggeeft aan andere die ook dit soort praktijken willen uitoefenen.

[Verwijderd]

Nu maar hopen dat degene die de e-mailadressen heeft ze niet weggeeft aan andere die ook dit soort praktijken willen uitoefenen.

Wees daar maar niet bang voor. Ze worden niet weggegeven maar verkocht.

Ik heb geen idee of ik spam krijg die afkomstig is via Dropbox. Ik gebruk daar een van mijn meestgebruikte accounts. Van Gmail, en de spam wordt netjes weggevangen.

[Verwijderd]

Ik heb het wel vaker gemerkt. Ik gebruik voor alle online diensten (en ook vaak bedrijven, zoals mijn zorgverzekeraar) een uniek email-adres. Ontzettend vaak al spam gekregen specifiek op die adressen. En dan bij klagen beweren ze altijd dat ze die gegevens nooit doorspelen aan derden.

Leugens. If you're not sure, always follow the money. Uiteraard is Dropbox ofwel gehackt (althans hun database met user emails) ofwel hebben ze die zooi stiekem verkocht aan een spamboer voor een hoop centjes.

[svenvv2]

Ik krijg inderdaad ook Eu Dice mailtjes binnen, al plaatst Gmail deze netjes in mijn spamfolder. Ik krijg op beide adressen waarop ik een db account heb spam. Een ervan heb ik ik geen maanden gebruikt zelfs! Andere mailadressen krijgen vanzelfsprekend geen spam binnen.

[dev5000]

We moeten maar even afwachten het blijft vreemd . Zelf gebruik ik sizeupload kijk nog wel even wat te doen.