Microsoft: we zijn net als Facebook en Apple aangevallen

De aanvalsmethode waar kwaadwillenden onlangs systemen binnen het bedrijfsnetwerk van Facebook en Apple mee binnen wisten te dringen is ook succesvol geweest bij Microsoft, zo heeft het concern bekendgemaakt. Onder andere de Mac-bedrijfstak van Microsoft is getroffen.

"Tijdens ons onderzoek troffen we een klein aantal computers aan, waaronder sommige in ons Mac-bedrijfsonderdeel, die via dezelfde technieken geïnfecteerd waren door kwaadaardige software als gemeld door andere organisaties", schrijft Matt Thomlinson van Microsofts Trustworthy Computing Security-team. Hij verwijst daarbij naar de recente aanvallen op Apple en Facebook. Vooralsnog lijkt het er niet op dat gebruikersdata in het geding is geweest en het onderzoek duurt nog voort.

Eerder werd al bekend dat de aanval via het iPhoneDevSDK-forum is verlopen en zich vooral op OS X-systemen richtte. Op het populaire forum was via een gehacked beheerdersaccount kwaadaardige javascript gezet, die bezoekers naar min.liveanalytics doorsluisde. Op die site stond al sinds 15 januari een Java zeroday-exploit en op 30 januari stopten de aanvallen. De hackers zouden vanuit computers in Oost-Europa geopereerd hebben. Gezien de populariteit van het iPhoneDevSDK-forum is de verwachting dat veel meer organisaties zijn getroffen en het lijkt er niet op dat de aanvaller zich specifiek op Facebook, Apple of Microsoft hebben gericht.

Reacties (43)

[brabbelaar]

Het is eerlijk dat ze het toegeven. Het is mij echter niet duidelijk hoe deze aanval anders is dan de andere aanvallen die deze bedrijven te verduren krijgen. Ik neem aan dat ze alle drie dagelijks flink onder vuur liggen en dat er wel vaker iets kantje boord gaat.

Willen ze een punt maken of is er iets groters aan de hand waar wij niet over lezen.

[Dlocks]

Het is mij echter niet duidelijk hoe deze aanval anders is dan de andere aanvallen die deze bedrijven te verduren krijgen. Ik neem aan dat ze alle drie dagelijks flink onder vuur liggen en dat er wel vaker iets kantje boord gaat.

Ik begrijp eigenlijk niet zo goed waarom de media de term "aanvallen" gebruikt.

Lijkt mij dat er heel groot verschil zit tussen directe doelgerichte aanval op je netwerk wat ze waarschijnlijk aan de lopende band zien gebeuren versus computers in je netwerk die door het bezoeken van een website besmet zijn geraakt met malware.

Iedereen die iPhoneDevSDK-forum bezocht kon besmet raken als de condities juist waren.

Dus al men dan al van "aanvallen" wil spreken zou men moeten zeggen: "Alle bezoeker van iPhoneDevSDK-forum aangevallen."

Zoals het nu in het nieuws komt lijkt het alsof het een aanval specifiek gericht op Microsoft, Facebook en Apple is geweest. Vooralsnog neem ik aan dat het om 'catch all' malware gaat.

[Reactie gewijzigd door Dlocks op 24 juli 2024 07:38]

[Ferruginous Hwk]

De term aanvallen is in deze situatie toch wel terecht.
Deze aanvallen, aan de waterbron, (zoals Leeuwen in de wildernis bij de waterbron wachten op hun slachtoffers) lijken random maar zijn daadwerkelijk gericht.
Een attack op de firewalls heeft zeer beperkt zin omdat verkeer van buitenaf standaard wel wordt geblokkeerd.
Nu wordt vanaf een client via poort 80/443 een sessie opgezet. Firewalls zullen dit verkeer 'altijd' doorlaten als het van binnenuit geïnitieerd was. IDS zal omdat het een zero-day was niet ingrijpen.

[Verwijderd]

Jij zegt dat het eerlijk is dat ze het toegeven. Maar ik denk vooral dat het vooral een slimme tactiek van ze is. Voor Microsoft is Java toch een stukje concurrentie. De laatste tijd staat Java vooral in een slecht licht in de media. Nu gaan ontwikkelaars zich wellicht afvragen of ze niet naar een beter alternatief moeten kijken, wellicht een Microsoft alternatief?

[Foegol]

Willen ze een punt maken of is er iets groters aan de hand waar wij niet over lezen.

Waarschijnlijk moeten ze ook wel. Hoe vaak zien we wel niet dat de grote organisaties zo iets té lang achterhouden wat vervolgens weer voor slechte publiciteit zorgt.

[brabbelaar]

Dat is vooral een probleem wanneer jouw zorgdossier of creditcardgegevens zijn gejat, daar lijkt het nu niet op, waarom moeten ze dit openbaar maken?

[Foegol]

Dat is vooral een probleem wanneer jouw zorgdossier of creditcardgegevens zijn gejat, daar lijkt het nu niet op, waarom moeten ze dit openbaar maken?

Als er informatie over de consument vrijkomt dan verplicht (volgens mij) de wet de organisatie om de (mogelijk) getroffen slachtoffers op de hoogte te stellen.

Nu zijn wij geen rechtstreeks slachtoffer maar aangezien er in zo'n beetje ieder huishouden wel een product van Microsoft te vinden is worden ze wel gedwongen om hiermee op de proppen te komen. Doen ze dat niet en een andere organisatie lekt deze info naar buiten dan staat hun een "maatschappelijke veroordeling" te wachten.

Immers, zou jij nog vertrouwen hebben als een andere organisatie jou moet vertellen wat er daar zoal mis gaat?

[Reactie gewijzigd door Foegol op 24 juli 2024 07:38]

[himlims_]

ongeacht de buit, de gestolen data of persoonlijke gegevens, een hack (zeker bij zo'n groot bedrijf) dient -altijd- openbaar gemaakt te worden.

Wat ik wel zorgelijk vind, dit zijn niet de minste bedrijven. Als het een kleine chipbakker was ok. Maar dit zijn gerenomeerde bedrijven, multinationals die staan voor security. Althans dat doen zij ons geloven.

Wat als dit soort bedrijven, waar ict hun core buisiness is, onze/hun data al niet veilig kunnen bewaren. Hoe denken onze overheden dat te kunnen? Ik noem een EPD, DigiD etc.

[Verwijderd]

Dat dacht ik ook, altijd openbaar maken, met publicatie van de gebruikte methoden en gemaakte fouten... Met tips hoe dit in de toekomst te voorkomen is..

Od zouden die hackers daar nog meer van smullen?

[audiomuts]

Ik denk dat ze het openbaar maken, om indien het uitlekt zou worden de verontwaardiging groter zal zijn/worden.
Tevens kunnen andere mogelijke slachtoffers gewaarschuwd worden om hun sites na te kijken.

[Teijgetje]

Jammer dat je eerst zo reageert en de quote en artikeltekst verkeerd quote en je daarmee schuldig maakt aan wat je de ander verwijt.

De exploit werd toegankelijk via het iPhoneDevSDK-forum.
De boodschap van MS is dan ook min of meer dat iedereen die dat forum gebruikt, voor tips and tricks om software voor de iPhone te ontwikkelen, gehackt kan zijn.

Kwam/Kom je daar dus (regelmatig), dan is het mogelijk dat je ongemerkt naar min.liveanalytics bent gereroute door kwaadaardig Javascript, via een gehackte beheerdersaccount, welke je als bonafide aanneemt.
Op min.liveanalytics werd dan malware geinstalleerd op de bezoekende computer, dus dan zou ik zeker eea even checken als je daar geweest bent.
Die Malware was een zero-day exploit in Java voor Mac OSX, de aanval een zgn. textbook watering hole attack (voor uitleg hoe dat werkt)
Zo`n wateringhole attack is doelgroepgericht(OSx in deze) en niet op specifieke doelwitten.

Dat lijkt me de boodschap die MS hiermee afgeeft.

Dat het alleen de MS Mac afdeling betrof, bij hen, lijkt me ook logisch gezien ze eigen software compatible moeten maken met die van Apple en de exploit was voor Java voor Mac OSX.
Logischerwijs draai je een iPhoneSDK op een Mac (met OSx), niet op Windows-pc`s.
Die Macs gebruiken ze om hun software compatible te maken met OSx en iOS en zullen los draaien van de Windowspc`s om eventuele kruisbesmetting te voorkomen..
Het forum zal niet bezocht worden door de Windowsdevelopersafdelingen en WindowsJava heeft naar ik weet dat lek niet.

Overigens kreeg ik gisteren een Java update voor J7u15, (voor Windows bij mij) ik verwacht dan ook dat de exploit inmiddels nergens meer uitgevoerd kan worden, ook niet via het iPhoneDevSDK forum waar de bekende link de exploit op 24 januari al niet meer uitvoerde(toen ging min.liveanalytics uit de lucht).
Gezien het een aantal crytical fixes betreft is het advies deze update asap te installeren.
(Update van Java dus en ook nodig als je de Java Browser plug-in niet gebruikt)

[Reactie gewijzigd door Teijgetje op 24 juli 2024 07:38]

[HerrPino]

Het mooie van dit soort hack acties is dat ze hiermee OSX en Windows weer wat veiliger maken. Linux, hoe veilig deze ook geacht wordt (vergeet niet dat OSX Unix is) moet deze vuurdoop nog krijgen.

[KontI]

je spreekt jezelf tegen. want wie zegt dat security patches op osx (vergeet niet dat OSX Unix is) niet ook van toepassing kunnen zijn op linux? dat is het mooie van open source.

[blorf]

Linux zit fundamenteel beter in elkaar. Als er iets aan de hand is kan alles tot op de bodem uitgezocht worden dankzij de openheid van de software. Die vuurdoop zegt weinig als je vantevoren al kan aantonen dat het niet gaat werken. Eigenlijk is het alleen toepasbaar op gesloten software waarbinnen de kans op bugs vanzelfsprekend groter is.
Dat OSX UNIX is is een inhoudsloos statement. Het is een commercieel produkt dat delen van FreeBSD gebruikt maar net zo goed als Windows kwetsbaar is voor misbruik van bugs in de gesloten delen.

Ik ben ernstig FreeBSD-fan, gebruik het al zo'n 12 jaar. En geloof me, als je dit soort besturingssystemen goed kent wordt duidelijk zichtbaar dat commerciele systemen bijna altijd door de maker zelf verknald worden. De risico's worden er letterlijk aan toegevoegd, vaak omdat de winst belangrijker is dan de mate van veiligheid.
Een duizenden mensen tellende community is nou eenmaal een betere beveiliger dan een commerciele OS-maker, hoe duur en veel gebruikt hun produkt ook is.

[Reactie gewijzigd door blorf op 24 juli 2024 07:38]

[mashell]

Een duizenden mensen tellende community is nou eenmaal een betere beveiliger dan een commerciele OS-maker

Ik hoef je toch niet helpen herinneren aan het SSL debacle? Ook zo'n community geeft slechts schijnzekerheid. Iedereen kan de code bekijken maar niemand neemt er de tijd voor om het ook echt te doen. De enige manier om echte veiligheid te krijgen is een kwalitieitsprocess en daar lopen de commerciele partijen ver voor op de goed bedoelende vrije tijd zolderkamertjes programmeurs. De enige uitweg is software wel open source maar betaald te maken en dat geld in te zetten om mensen kwaliteitsprocessen uit te laten voeren.

[Amanoo]

Beide statements zijn deels waar. Enkel een community van zolderprogrammeurs is niet iets waar ik al te snel op zou vertrouwen, maar enkel een commerciële groep evenmin. Het leuke is dat in het geval van open source er een mogelijkheid is om een developers-achterban te hebben die bestaat uit professioneel ingehuurde developers EN zolderkamerprogrammeurs. Bij open source projecten kunnen er zelfs meerdere commerciële partijen met elk zijn eigen belangen aan een product werken. Projecten waar zo'n verscheidenheid aan partijen aan werkt, mits de partij die ook het product releaset een beetje degelijke kwaliteitscheck heeft, zullen het relatief veiligst zijn. Dan heb je een sterke alliantie. En veel gratis developers.

[Verwijderd]

Je kan ook overdrijven natuurlijk. Er zijn hele volksstammen betaalde open source programmeurs (Linus zelf bijv.) en die 'hobbyisten' zijn vaak ook programmeurs in het dagelijks leven en doen dit voor de lol erbij.
Qua kwaliteits controle kan je je afvragen wat beter is. Dat je code gemaakt door een paar mensen door een paar anderen laat testen. Of dat je de code door tientallen zo niet honderden laat nakijken? (Wat dus wel degelijk gebeurd. Kijk de mailinglijsten er maar op na.)
Maar voor beide manieren kan je het nooit dekkend krijgen want je hebt maar een beperkte tijd. Dus moet je er rekening mee houden dat er altijd nog foutjes in kunnen zitten. Maar als je de verhoudingen nakijkt mag je zeker wel concluderen dat de betere open source software minder fouten en dus veiligheidsrisico's bevat.
In de geval was het dus ook weer zo.

[ToFast]

Je hebt deels gelijk. echter Een duizenden tellende community kan ook juist voor extra (geheime) gaten zorgen als iemand kwaad in de zin heeft.

Er zullen heel wa gaten in Linux zitten die al jaren open liggen, maar niet zijn ontdekt omdat er geen misbruik van gemaakt wordt. Was Linux meer gebruikt dan Windows (bij de consument in ieder geval) waren daar het gros van de lekken / virussen voor te vinden.

Fundamenteel zal het bij Linux wel beter zitten dat geloof ik graag en zo zwart-wit als ik het schets is natuurlijk ook niet het geval.

[SED]

Je zal meer exploits vinden voor IIS dan Apache terwijl Apache toch echt veel meer gebruikt word. en dat is dus aantoonbaar onzin!

http://secunia.com/advisories/product/73/

Apache 2013: 48 open staande: http://secunia.com/adviso.../73/?task=statistics_2013
IIS 2013 11 openstaande: http://secunia.com/adviso...438/?task=statistics_2013

[Niosus]

Dat is voor Apache versie 2.0.x

We zitten aan 2.4.x ondertussen FYI.

http://secunia.com/adviso...666/?task=statistics_2013

Dat zijn dus 3 vulnerabilities.

[Reactie gewijzigd door Niosus op 24 juli 2024 07:38]

[Loller1]

Het is alleen een veiligheidslek in OS X icm een ander lek. Het is niet voor niks dat Apple, Facebook en Microsofts Mac-tak werden aangevallen en de rest van hun bedrijf.

[Frukt]

Ze hebben zich alleen gericht op OSX. Dat wil niet zeggen dat ze geen andere OS'en via deze hack zouden kunnen aanvallen.

[Denni]

Het hoeft niet iets OS X specifieks te zijn. Dat zou je denken omdat het om Mac-takken gaat. Het punt zit hem echter erin dat het iPhoneDevSDK gehacked was waardoor gebruikers werden doorgelinkt naar een java-exploit.

Oftewel; het is een lek in java. Niet specifiek in OS X. Dat zie je wel vaker bij "mac-lekken" dat het eigenlijk gewoon java-exploits zijn(vandaar dat ik ook geen java op mijn mac's heb staan, daarnaast vind ik java-software bijna nooit prettig). Dit is dus iets waar Apple, maar vooral ook Oracle naar moeten kijken.

Natuurlijk zou het ook fijn zijn als de makers van het forum ervoor zorgen dat je niet zomaar wordt doorgestuurd naar een exploit. Maar een (gevaarlijke) exploit in Java kan niet enkel op dat forum worden toegepast en is dus nog gevaarlijker.

[Shark.Bait]

Android = Linux. De doop is allang geweest.

[Boborc]

Ik volg de redenering van deze discussie verder:
- Linux en Mac OS X worden hier als 'hetzelfde' afgeschreven (UNIX)
- Jij zegt nu dat Android = Linux
- Feit is dat Android grotendeels gebruik maakt van Java

Nu is java op os x gehacked, dus kan volgens jullie redenering android ook via dat lek gehackt worden

Vinden jullie nu zelf niet dat er iets scheef gaat in jullie vergelijkingen?

[SED]

android is al een van de snelst stijgende bedreigde os sen.. De hoeveelheid malware haalt die voor windows 7 en 8 reeds in!

Daar is Dalvik ( de google android implementatie) slechts deel debet aan. Met name het usersysteem is een groot gevaar. Daarnaast is de bescherming en informatievoorziening aan gebruikers omtrent de toegangsrechten van een app erg slecht geregeld. Niemand leest dat meer en klikt op install..
Vaak zelfs op automatisch bijwerken!

[Wim-Bart]

Het mooie van dit soort hack acties is dat ze hiermee OSX en Windows weer wat veiliger maken. Linux, hoe veilig deze ook geacht wordt (vergeet niet dat OSX Unix is) moet deze vuurdoop nog krijgen.

Probleem is dat alleen Apple Computers (OS/X) gehacked zijn. De hack was bij Microsoft, maar het betrof Mac computers. Kortom, een halve mand lang zijn per definite alle Mac computers in gevaar geweest. Hoe veel er daadwerkelijk gehacked zijn is de vraag natuurlijk, maar 15 dagen lang is veel.

[Verwijderd]

Niet alle Mac computers zijn in gevaar geweest. Op heel veel Macs is Java uitgezet door Apple of het staat niet meer geïnstalleerd.

En nergens zegt MS dat het om Macs gaat. Het is op de Mac afdeling. Kunnen net zo goed ook Windows machines zijn geweest.

[SuperDre]

het gaat hier niet over windows, maar over mac's binnen MS die gehackt zijn....

[Caelorum]

[...] Onder andere de Mac-bedrijfstak van Microsoft is getroffen. [...]

Dus via een beveiligingsgat in OSX (of software daarop) zijn ze binnen gekomen?

[SoloH]

Tja, interessant om te weten. Het zou goed kunnen, maar het kan ook zijn omdat die afdeling op het betreffende forum is geweest.

[Verwijderd]

Java was lek. Normaalgesproken heb je Java niet geinstalleerd staan op OS X. Met uitzondering van sommige programmeurs die het nog gebruiken. De exploit werd via een site interessant voor iOS programmeurs aangeboden. Hoewel iOS zelf niet met Java werkt is het wel waarschijnlijk dat een bezoeker een programmeur is, met OS X, en (dus) wellicht ook het optionele Java geinstalleerd => prospect voor de java exploit dus.

[Dlocks]

Normaalgesproken heb je Java niet geinstalleerd staan op OS X.

Is dat zo? Ik dacht dat het op de meeste Macs met OS X wel geinstalleerd is, maar dat Apple het ergens in januari (op afstand) heeft uitgeschakeld. Het staat dus wel op OS X, maar proces is niet actief.

[Verwijderd]

[...]
Is dat zo? Ik dacht dat het op de meeste Macs met OS X wel geinstalleerd is, maar dat Apple het ergens in januari (op afstand) heeft uitgeschakeld. Het staat dus wel op OS X, maar proces is niet actief.

Neen, Java en Flash staan standaard niet geinstalleerd op OS X.

Als je voor de eerste keer een site bezoekt die die plugins nodig hebben, krijg je je een melding en kan je het zelf met 1 klik installeren.

[Verwijderd]

Nee, als er sprake is van de zelfde malware dan betreft het een een reeds door Apple gerepareerd lek in de browser plugin Java dus niet in OS X. Deze plug in is door Apple enige tijd geleden al standaard uitgeschakeld.

[Teijgetje]

Ik zie alu hoedjes glinsteren.......

Commercieel is een superveilig systeem heel aantrekkelijk, alleen krijg je dan stand-alone systemen waar, doordat er geen toegang is vanaf buiten (usb, internet, etc), ,je alleen kan doen wat er op zo`n systeem gedaan mag.
En dat is weer niet aantrekkelijk voor de consument.
Neem banken, geheel standalone en sommige nog op Windows 2000, je kan er dan ook niet iets anders mee dan bankzaken op eigen intranet.
In de praktijk wil iedereen alles ermee kunnen, en op internet, en makkelijk bestanden uit kunnen wisselen, en zit dus het grootste gevaar achter het toetsenbord.
Apple heeft b.v. een vrij gesloten systeem met walled garden en veel controle, dat geeft enige zekerheid over veiligheid, maar ook hier is de persoon achter het toetsenbord degene die eventuele rotzooi binnenlaat.
Tegenwoordig is er de BYOD trend op het werk, systemen moeten dus steeds veiliger worden terwijl het individu steeds meer eigen inbreng wil over de hardware die hij wil gebruiken.

Daarnaast zullen er altijd mensen zijn die de gaatjes opzoeken, al dan niet om te misbruiken.
Daar is inderdaad een eigen industrie door ontstaan, mensen die de virussen voor je opsporen (die je zelf toegelaten hebt), mensen die ze kunnen verwijderen, mensen die de code weer aanpassen zodat lekken gedicht worden, etc.
Maar ga ervan uit dat bij uitgifte van een OS de maker echt heel gedegen onderzoek heeft gedaan of alles wel veilig en dicht is, niemand zit te wachten op publiciteit als; "OS huppeldepup laat gebruikersgegevens lekken/slingeren"
Als het al gebeurd zijn dat onbekende foutjes in de software die met een aantal kunstgrepen (vaak) achter elkaar of via thirdpartysoftware door kwaadwillenden benut worden.

De huidige sourcecode van een OS is gigantisch, en veel complexer dan bv van een rekenmachientje.
Probeer eens of je de complete code van een compleet LinuxOS kan inzien/uitprinten, dat zijn boeken vol, geen pagina`s.
Je zult dan begrijpen dat bij elke wijziging, die door de hele code heen loopt, er weer mogelijke lekken/gaten ontstaan waar kwaadwilligen iets tussen weten te krijgen.

Ga er maar van uit dat elke OS schrijver het liefst een ondoordringbare code maakt zodat zijn gebruikers veilig zijn en het systeem bugfree.
Dat is de beste reclame en bv Apple heeft dat lang kunnen zeggen, juist omdat het vrij gesloten is.
Dat is ook één van de redenen dat soms sourcecodes niet vrijgegeven worden, als je het niet weet wordt gaatjes zoeken moeilijker. (Naast bescherming tegen concurrentie natuurlijk, als jij 10 jaar schrijft aan een programma is het vervelend als je buurman dat morgen van je gekopieerd heeft omdat hij nu weet hoe het werkt)

Stellen dat ze expres gaten laten zitten om er extra aan te kunnen verdienen is natuurlijk onzin.
Beveiligingsupdates zijn gratis, dat is gerepareerde code, en bv MS geeft XP dat 13 jaar oud is nog steeds gratis updates.
Ook van Apple krijg je gratis beveiligingsupdates.
Neem maar aan dat ze het liefst die afdeling die voor de updates zorgt kwijt zouden willen zijn, daar verdienen ze niets aan, dat kost alleen maar.

Dat je voor OS upgrades moet betalen is iets anders, dan ga je naar de volgende versie van een OS over, maar binnen een versie krijg je altijd gratis beveiligingsupdates.

[Reactie gewijzigd door Teijgetje op 24 juli 2024 07:38]