Hoe Victor Gevers het Twitter-account van Trump wist te hacken: Takedown afl.3

Takedown is een podcast van Team High Tech Crime van de Nederlandse politie. THTC houdt zich bezig met complexe (inter)nationale cybercrimezaken en nieuwe vormen van hightech criminaliteit. De doelstelling van dit team? Het bestrijden van cybercrime om Nederland minder aantrekkelijk voor cybercriminelen en dus veiliger te maken. In de zes afleveringen van de podcast Takedown spreken leden van THTC met journalist Vivianne Bendermacher over hun specialistische werk. Daarbij staat steeds één zaak centraal. In dit artikel gaan we in op de derde zaak, die draait om een ethische hacker uit Nederland die toegang wist te krijgen tot het Twitter-account van een van ‘s werelds machtigste personen: Donald Trump.

Hoofdrolspeler in deze zaak is de Nederlandse ethische hacker Victor Gevers, oprichter van het Dutch Institute for Vulnerability Disclosure (DIVD). Hij kreeg toegang tot het Twitter-account van niemand minder dan Donald Trump. Dat lukte hem zelfs twee keer, in 2016 en 2020.

Beluister de podcast:

Takedown · De hack die de wereld had kunnen veranderen

Gehashte wachtwoorden

Victor bevond zich in april 2016 met vrienden op een cybersecurity-conferentie toen een groot lek in de database van LinkedIn bekend werd. Terwijl ze in hun hotelkamer de gelekte gegevens controleerden, doken namen van prominente figuren op, waaronder de toenmalige presidentskandidaat Donald Trump. De ontdekking van een bekend wachtwoord in de gelekte gegevens leidde tot een onderzoek naar andere openbare data. Victor en zijn vrienden ontdekten dat Trump hetzelfde wachtwoord voor verschillende diensten gebruikte. Dit wachtwoord was ‘you’re fired’, bekend van de televisieshow The Apprentice.

Victor: “Ik ontdekte dat het wachtwoord van het account gelijk was aan dat van e-mailadressen die betrokken waren bij meerdere beveiligingslekken. Het wachtwoord bleek in verschillende databasedumps te staan waar gehashte wachtwoorden vaak worden blootgesteld. Ik kwam erachter dat hetzelfde wachtwoord op meerdere plaatsen werd gebruikt, wat natuurlijk een grote kwetsbaarheid is in de beveiliging.”

“Om toegang te krijgen tot het account simuleerde ik een omgeving. Via openbare data wisten we dat Trump fan was van Android-apparaten. Uiteindelijk combineerden we client-ID-informatie en geolocatiegegevens, gebruikmakend van een proxy om me voor te doen als iemand die zich in de buurt van New York bevond. Ik emuleerde een Android-apparaat op mijn laptop, versterkt door de proxy, en daarmee simuleerde ik de client.”

Python-scripts en fuzzing

Na een succesvolle login en de vaststelling dat er geen tweefactorauthenticatie was ingeschakeld, informeerden Victor en zijn vrienden netjes Homeland Security, maar er kwam geen reactie. Tijdens de verkiezingen van 2020 merkte Victor uiteindelijk dat de beveiliging op overheidsaccounts strenger was geworden. Hij besloot toch om de online beveiliging van de presidentskandidaat opnieuw te testen, met het wachtwoord 'maga2020!', een afkorting van Trumps mantra Make America Great Again. Tot zijn verbazing kwam Victor snel binnen op het account, zonder de gebruikelijke veiligheidsmeldingen van Twitter. “Ik weet nog dat ik dacht: ‘nee, toch niet weer?’ Waarschijnlijk had iemand uit het team van Trump alle beveiliging opengezet en open laten staan. Ondenkbaar, maar toch was het zo.”

Tegen 2020 werd Python veel gebruikt voor het schrijven van scripts die Twitter-api’s konden manipuleren. Deze scripts waren in staat om kwetsbaarheden in een api te ontdekken en te exploiteren, waardoor ongeautoriseerde toegang tot accounts mogelijk werd. Ook fuzzing kwam hierbij van pas, een techniek waarbij willekeurige data worden ingevoerd in een programma om fouten en beveiligingslekken te ontdekken. Deze techniek werd onder andere toegepast op api’s van Twitter. Door fuzzing kon men zwakke plekken in de beveiliging identificeren, waaronder punten die betrekking hebben op authenticatie en data-integriteit.

De politie

We kennen de politie allemaal als het ‘blauw op straat’, maar ook online zet de dienst zich in voor veiligheid in de maatschappij. De specialisten van Team High Tech Crime (THTC) van de Landelijke Eenheid onderzoeken complexe, (inter)nationale cybercrimezaken en nieuwe vormen van hightech crime. Het doel? Nederland veiliger, en minder aantrekkelijk voor cybercriminelen maken. Wil jij onderdeel uitmaken van dit team of een van de andere cybercrimeteams van de politie? Bekijk hier de mogelijkheden.

Maikel van THTC beschrijft de precaire omstandigheid waar Victor zich in bevindt: “Victor doet feitelijk aan ethisch hacken, maar hij bevindt zich in een complexe situatie. Hoewel hij hackt met goede intenties, maakt het wetboek geen onderscheid tussen ethisch en kwaadwillend hacken; hacken is hacken. Tijdens ons politieverhoor wilden wij als THTC weten wat hij precies had gedaan en hoe. Bij vragen moet je dan denken aan motieven, methoden en de organisatie waarvoor hij werkte. Maar we hebben ook ingezoomd op details van het hacken, zoals het raden van wachtwoorden en het omzeilen van beveiligingsmethoden. Victor werd door ons overigens als getuige gehoord, niet als verdachte. Het was vergelijkbaar met hoe we een ooggetuige bij een verkeersongeval spreken.”

(Geen) Grens overgegaan

Team High Tech Crime en het Openbaar Ministerie kregen de taak om dit specifieke geval van ethisch hacken te beoordelen. THTC focuste zich in deze zaak op de technische aspecten en onderzocht wat er nodig was om op deze manier bij Twitter op een account in te loggen Daarnaast onderzocht men of het verhaal van Victor met de aangetroffen situatie strookte. Maikel legt uit: “Bij THTC zitten veel specialisten die onder andere kennis hebben van pentesting. Dat is handig wanneer we onderzoek doen met in beslag genomen apparatuur, maar in dit geval ook om Victors verhaal te valideren.”

Ymkje, werkzaam als cybercrime-specialist bij het Openbaar Ministerie, kreeg de taak om de acties van Victor te beoordelen vanuit het OM. Bij het beoordelen van een ethische hack kijkt Ymkje eerst naar het maatschappelijk belang, zoals de beveiliging van ziekenhuisgegevens of politieke accounts. Vervolgens beoordeelt ze de proportionaliteit van de actie: is er niet meer informatie onthuld dan strikt noodzakelijk om de kwetsbaarheid aan te tonen? Ten slotte wordt gekeken naar subsidiariteit, met andere woorden of er een minder vergaande manier zou zijn om hetzelfde doel te bereiken, bijvoorbeeld door eerst de organisatie te informeren voordat informatie publiek wordt gemaakt.

Victor: “Het was goed dat ik alles heel nauwkeurig had gearchiveerd en dat ik nooit iets heb gepost uit naam van Trump. Ik had heel makkelijk een plaatje kunnen posten of iets kleins kunnen aanpassen. Maar dan was ik over een grens gegaan. Dan had mijn actie zich als het ware in het publieke domein afgespeeld, en dat is strafbaar.”

Ondanks zijn ethische benadering en samenwerking met de autoriteiten, waaronder een gesprek met de Amerikaanse Secret Service, bleef het Witte Huis ontkennen dat Victor toegang had tot Trumps account. Dankzij het feit dat de Nederlandse en internationale richtlijnen voor ethisch hacken waren nageleefd, werd zijn zaak afgesloten zonder dat er strafbare feiten aan het licht waren gekomen.

Beveiliging van Twitter (X) in 2023

Elon Musk heeft aangekondigd dat het X-platform belangrijke stappen wil zetten om de privacy van gebruikers te verbeteren. Een van de meest opvallende aankondigingen is dat men van plan is om end-to-end encryptie te implementeren voor direct messages (DM’s). Dit betekent dat de inhoud van DM’s volledig beveiligd zal zijn en zelfs X-medewerkers of Musk zelf geen toegang zullen hebben tot de berichten. Daarnaast wil Musk voice- en videochatfuncties toevoegen aan het platform. Hierdoor kunnen gebruikers wereldwijd communiceren zonder hun persoonlijke telefoonnummers te delen. Deze stap lijkt vooral te worden gezet om te kunnen concurreren met platforms zoals Signal, die al langer standaard versleutelde communicatie bieden.

Er zijn echter enkele beperkingen en vereisten verbonden aan het gebruik van deze versleutelde DM’s. Zowel de verzender als de ontvanger moet zijn geverifieerd of verbonden met een geverifieerde organisatie, wat meestal een Twitter Blue-abonnement vereist. Bovendien biedt de huidige encryptie geen bescherming tegen man-in-the-middle-aanvallen, en de metadata van de berichten is niet versleuteld. X werkt echter aan het oplossen hiervan door cryptografische handtekeningcontroles en veiligheidsnummers toe te voegen.

Zo beluister je de Takedown-podcast + geef je mening

Je kunt Takedown beluisteren via artikelen die in samenwerking met de nationale politie en Team High Tech Crime op Tweakers worden gepubliceerd, maar ook op Spotify of welk podcastplatform je ook verkiest. Door je te abonneren op Takedown ontvang je een notificatie zodra een nieuwe aflevering beschikbaar is.

We zijn benieuwd wat jij van deze podcast vindt. Vul hier de korte enquête in en laat het ons weten. Wil je meer weten over werken bij THTC? Hier vind je een overzicht van alle IT-vacatures bij de politie.

Dit artikel is geen redactioneel artikel, maar gesponsord en tot stand gekomen dankzij de politie en Tweakers Partners. Tweakers Partners is de afdeling binnen Tweakers die verantwoordelijk is voor commerciële samenwerkingen, winacties en Tweakers events zoals meet-ups, Developers Summit, Testfest en meer. Bekijk hier het overzicht van alle acties en events. Mocht je ideeën met ons willen delen over deze vorm van adverteren, dan horen wij dat graag. Hierover kun je met ons in gesprek via [Discussie] Reclame algemeen].

Reacties (28)

[Pietertje]

Social media gebruiken zonder 2FA moet je gewoon niet meer willen.

[Anoniem: 1576590]

Door Pietertje:

Social media gebruiken zonder 2FA moet je gewoon niet meer willen.

De vorige eigenaar van Twitter, Jack Dorsey, vond dat ook en werd gehacked.

Reken je ook niet rijk met TOTP: naast dat veelvuldig aangeprezen apps daarvoor overschat worden qua betrouwbaarheid (zie vanaf het 4e grijze blokje daarin) helpt zwakke 2FA/MFA niet tegen phishing indien de nepwebsite als een "evil proxy" werkt.

Bovenaan die pagina maar ook hier leg ik uit hoe zo'n "evil proxy" werkt.

Te vaak wordt onderschat hoe lastig authenticatie is, en vooral hoe eenvoudig impersonatie in de praktijk is. Ik ken geen superveilige oplossingen; de meeste doen mij denken aan een kaartenhuis - op z'n kop.

[Goderic]

FIDO2 keys (yubikey etc) en passkeys zijn niet vatbaar voor zo'n MITM aanval.

[onno oliver]

Nee, das is niet waar.
Keys als Yubikey, titan worden wel degelijk "gehack/onderzocht" door "onderzoekers".
Feit is dat je dit niet kan doen met spul van de "action" ref talk die Jilles heeft geven op Tweakers.
(kan de link even niet vinden)

Er is wel hoge investering nodig, tools die je kan vinden op een technische uni of op events als Hardwear.io of bij statelijke actoren. Als meer mensen deze keys gaan gebruiken, zal de markt zich richten op de bezitters er van en zal het rendabeler worden om side channel attacks op de chip te doen.
Gelukkig kan je buurjongen het nog niet met z'n flipper zero als zijn de tools als de chipwisper en pico emp
te ingewikkeld en slecht voor handen.

https://arstechnica.com/i...ide-channel-in-nxp-chips/

[Goderic]

Sidechannel attacks zijn iets helemaal anders dan MITM attacks.
Je hebt er (meestal) ook fysieke toegang voor nodig, wat het nutteloos maakt voor de meeste hackers.

Iemand die de tijd heeft, kennis heeft en toegang heeft tot mijn yubikey kan ook gewoon mijn bankkaart stelen en daar een MITM aanval op doen.

[Anoniem: 1576590]

Goderic schreef:

FIDO2 keys (yubikey etc) en passkeys zijn niet vatbaar voor zo'n MITM aanval.

Om te beginnen is phishing niet onmogelijk als een nepsite liegt dat, door een probleem op de server, jouw public key ontoegankelijk is, en je daarom op alternatieve wijze moet inloggen. Meestal kan dat, en dat is soms (niet in dit geval) maar goed ook; FIDO2 keys kun je niet backuppen, en bijv. bij Android kan sync naar een ander (nieuw of ander) toestel hartstikke fout gaan (heb ik ervaring mee), en back-uppen kun je ze vaak (iOS en Android) zelf niet.

Evil proxy bij WebAuthn
Echter, ook een "evil proxy" (AitM, Attacker in the Middle) aanval op WebAuthn is niet geheel onmogelijk (meestal is dit veel lastiger uit te voeren dan in de situatie dat je alle credentials op een fake website intikt).

De reden daarvoor is dat WebAuthn ervan uitgaat dat https en de domeinnaam van de website garanderen dat jouw webbrowser een versleutelde verbinding met (uitsluitend) de server met de public key uit jouw passkey heeft - waarna een JWT, session cookie, SAML record etc. veilig over die lijn kan, en je daarna een veilige tunnel hebt naar jouw account "in de cloud" (want dát is, uiteindelijk, het doel).

Helaas is "dankzij" DV-certificaten de authenticiteit van een server nauwelijks betrouwbaarder dan DNS (andere soorten certificaten kunnen óók onbetrouwbaar zijn, maar verschil tussen DV en andere certs kun je nauwelijks nog zichtbaar maken).

BGP-hijack
Vorig jaar beschreef ARS Technica een BGP-hijack waardoor een server van crminelen onterecht een DV-cert kreeg voor een cryptocoin website. Jouw FIDO2 hardware key of passkey had je niet gered in dit geval. Vreemde BGP-hijacks komen vaker voor.

Server vóór de server
Ruim twee maanden geleden ontdekten de eigenaren van de in Duitsland gehoste jabber.ru bij toeval dat als je daar een verbinding mee opende, je een ander DV cert ontving dan op hun server stond (Duitstalige write-up en een gedetailleerde Engelstalige beschrijving).

Fastly en anderen
Nog veel bonter maken CDN-partijen als Fastly het; dat zijn "legitieme" AitM's. Naast dat zij het maximum van 100 ongerelateerde domeinnamen in één certificaat proppen, gebruiken zij een relatief klein aantal sleutelparen voor enorme hoeveelheden van die certificaten.

Open bijvoorbeeld https://crt.sh/?q=zorgapp.hemazorgverzekering.nl. Merk op dat je in de kolom "Common Name" al heel verschillende domeinnamen ziet. Klik in de kolom "crt.sh ID" op een ID naar keuze. Scroll naar beneden en zie de 100 verschillende domeinnamen.

Erger: klik daarboven op "Subject Public Key Info". Daarmee krijg je, normaal gesproken, een lijst van alle certificaten met de getoonde public key (modulus en exponent). In dit geval leidt dit altijd tot een timeout of andere foutmelding, van crt.sh (of hun CDN provider) door het enorme aantal certificaten dat van deze public key gebruik maakt - voor zover ik heb kunnen zien al meer dan 4 jaar.

Jouw browser heeft dus een https tunnel naar een server van Fastly, die gehost kan worden door jouw ISP. Je hebt geen idee hoe de beveiliging vanaf dat punt tot de "echte" server geregeld is (die aan de andere kant van de wereld kan staan). Ook moet je erop vertrouwen dat Fastly's implementatie van SNI betrouwbaar is (en hun Varnish cache de boel niet door elkaar haalt).

(By the way, ook tweakers.net hergebruikt sleutelparen; bijv. security.nl doet dat niet. Merk op dat er, onbruikbare, "precertificates" tussen kunnen zitten).

Conclusie
Óf je met https een veilige tunnel naar een door jou vertrouwde webserver (en, na inloggen, jouw account) hebt, weet je helemaal niet meer op het huidige internet. Vaak zul je, onwetend, heel veel onbekende partijen blind moeten vertrouwen.

Begrijp me goed, ik ben zeker niet tegen FIDO2 en passkeys (ze hebben wel degelijk ook nadelen). Hoewel bij bovenstaande aanvalsmogelijkheden geen WebAuthn private key kan worden gestolen, heb je daar nul-komma-niets aan als de aanvaller toegang heeft tot jouw account en dat, in veel gevallen, kan overnemen of er een eigen loginmogelijkheid aan kan toevoegen.

Ik kan nog meer (andere) risicovolle scenario's beschrijven, maar deze post is al lang genoeg.

[Reactie gewijzigd door Anoniem: 1576590 op 23 juli 2024 07:56]

[LogiForce]

Ik snap niet waarom iemand van zijn statuur en inkomen geen Yubikey gebruikt. Dat zou je op dat niveau toch verwachten? Immers is zelfs klassieke 2FA niet lekdicht. 🤔

[Patriot]

Een Yubikey *is* 2FA.

[LogiForce]

Niet zoals het doorsnee bedoelt word met een authenticator app op je telefoon of via SMS of mail.
Hardware 2FA is nogal niche, en eerlijk gezegd ook niet gebruiksvriendelijk om voor Klaas en Katrien zelf even met laptop aan de keukentafel gebruiksgereed te maken. Maar iemand als Trump zou dit voor zich laten doen uiteraard, tenminste... zou je verwachten.

[Patriot]

Niet zoals het doorsnee bedoelt word met een authenticator app op je telefoon of via SMS of mail.

Het is net zo goed een 2FA-methode als dat lijstje. Nu is sms een stuk onveiliger, maar geen van allen zijn volledig 'lekdicht' (dat kan ook niet).

[mjtdevries]

Het probleem is meestal dat meerdere mensen dergelijke accounts beheren.
En dan worden dat soort oplossingen complexer.

[Kurios]

Verbazingwekkend dat dit niet strafbaar is. Kwetbaarheden aantonen met als doel anderen te beschermen, is 1 ding, maar proberen in te loggen met gerade wachtwoorden vind ik daar niks mee te maken te hebben.

Zo ook de eerste poging door met gelekte wachtwoorden overal proberen in te loggen zou wat mij betreft gewoon strafbaar moeten zijn. Dat heeft naar mijn mening niks met het aantonen van kwetsbaarheden te maken.

[drakiesoft]

Dit is gewoon rommelen aan iemands voordeur om te kijken of ie eenvoudig open kan. Ethisch hacker is geen synoniem om maar onbeperkt bij Jan en alleman security te checken. Dit moet echt beter gereguleerd worden. Gewoon via de hudige toezichtinstanties moeten bedrijven van deze orde aantoonbaar maken dat ze allerlei security maatregelingen getroffen hebben en daarvoor professionele instanties inschakelen. Dus niet van die amateurhackertjes die je ongevraagd komen bezoeken.

[ChokingHazard]

Dit onderwerp is eerder aan bod gekomen in de podcast 'Ik weet je wachtwoord' van Daniël Verlaan. Hij heeft hier ook een aflevering over gemaakt. Spotify-link.

[WPNL]

Lees / luister vooral deze episode op Darknet Diaries!

https://darknetdiaries.com/episode/87/

https://darknetdiaries.com/transcript/87/

[NoBrakes]

De geluids-kwaliteit van de podcast is erg slecht bij mij, ook bij andere?

[Anoniem: 942907]

Weer typisch Trump allemaal. Eerst falen qua beveiliging en er daarna over liegen.

Wat een held.

[Brad]

"het Twitter-account van een van ‘s werelds machtigste personen"

Geloven mensen dit écht?

Zo invloedrijk was hij heus niet.

[Reactie gewijzigd door Brad op 23 juli 2024 07:56]

[Enai]

Dit wachtwoord was ‘you’re fired’
het wachtwoord 'maga2020!'

Deze kerel wordt binnen een jaar opnieuw president.

[SmokeyTheBandit]

Dit is in het algemeen gewoon nog steeds een groot probleem. WW complexiteit is en blijft een issue.
Enorm veel hooggeplaatste personen hebben een schrikbarend laag beleid op dit vlak.

[Reactie gewijzigd door SmokeyTheBandit op 23 juli 2024 07:56]

[af_bert]

Als je dit normaal vindt, dan scheelt er echt toch iets in je bovenkamer en zou je gebant moeten worden van deze site.

https://www.vrt.be/vrtnws...l-van-trump-baart-zorgen/

[SmokeyTheBandit]

Zoals je in mijn eerdere reactie kan lezen ben ik ook geen voorstander van Trump.

@ iedereen
Denk trouwens dat het niet in de reacties niet moet ontpoppen tot een trump vs biden verhaal. Wellicht handig om het ontopic te houden.

[DdeM]

Begin er dan ook niet mee

[mjtdevries]

Ben je vergeten welke partij het over 'deplorables' had?

[Klauwhamer]

Ja, dat krijgen we zeker. Er zijn namelijk nog veel meer interessante hacktivists bezig geweest, o.a. met ontfutselen van data van Oath Keepers, Iron March messageboards, ACP, en Gab. Zichtbaar maken wat staatsgevaarlijke mensen zoal bekokstoven om een einde te maken aan gelijkwaardigheid en bevorderen van racisme, discriminatie, en fascisme.