Over: Computer!Totaal Hack

Hoe het nieuws naar buiten kwam

Op Donderdag 20 April 2000 om 19:50 kwam onderstaand bericht in het nieuws van Tweakers.net

ComputerTotaal forum gehacked
Tijdens een onderzoek naar de veiligheid van de UBB forums stuitte een aantal FOK!kers en Tweakers op een lek. Na verder zoeken blijkt dat een van de grootste forums van Nederland, het computertotaal forum, OOK niet veilig was.
De 'hackers' hebben hierop een paar minieme wijzigingen aangebracht en vervolgens DIT topic geplaatst op het forum.

De wijzigingen:
de tekst:
ComputerTotaal!online is veranderd in ComputerTotaal!offline
en er zijn twee moderators toegevoegd.

Er is uiteraard niets vernield en de admin van het forum, Bas Poppink, zal uitgelegd worden hoe er gehacked is en hoe het in de toekomst voorkomen kan worden.

Zowel Gathering of Tweakers als het FOK!forum zijn WEL veilig trouwens...

Update:
Zowel MP3.com als Oracle hadden hetzelfde lek in hun forum. De webmasters van beide sites zijn inmiddels op de hoogte gebracht van het lek.
Het lek bij Computertotaal is inmiddels gedicht. Waarom het forum dicht is terwijl dit absoluut niet nodig is is niet bekend.

De reactie bleef niet uit

Zoals te verwachten bleven de reacties niet uit, en dat was dan ook wel op onze site te zien. Een ellenlange discussie die uyiteindelijk verzandde in het welles nietes over de hackers-ethiek, en geheel voorbij schoot aan hetgeen waar het om ging: UBB is onveilig.

Het Forum ging, naar mijn mening geheel terecht, offline, zodat men kon gaan spitten naar de oorzaak. een oorzaak, met alle aanpassingen die gedaan waren, waren in het mailtje expliciet doorgemaild, maar de beheerder van het C!T forum was er kennelijk nogsteeds niet gerust op.

op dinsdag 25 april kwam C!T met een officiele verklaring.

Forum offline tijdens Pasen

Een bericht van Bas Poppink, Computer!Totaal, 25-04-2000

Het drukbezochte forum op deze website is gedurende het Paasweekeinde niet bereikbaar geweest. Donderdagavond rond 20:00 uur bleek de naam van het forum te zijn veranderd van Computer!Totaal Online naar Computer!Totaal Offline. Verder waren er twee extra beheerders (moderators) aangesteld en was het password van de hoofdbeheerder (administrator) veranderd.

De 'hackers' deden niet geheimzinnig over hun identiteit en bleken afkomstig uit de richting van Tweakers.net en Fok!zine. Deze sites maken gebruik van dezelfde forumsoftware. De bewuste personen ontdekten een fout in de forum-software, en zijn vervolgens gaan kijken welke forums deze fout nog niet hadden opgelost. Helaas bleek het Computer!Totaal-forum ook tot deze laatste groep te behoren. Andere 'lekke' forums waren onder andere die van MP3.com en Oracle. In dit bericht willen we uiteenzetten wat er precies is gebeurd en wat we hebben ondernomen om herhaling te voorkomen.

Waarom moest het forum offline?
Toen de fout werd ontdekt, was de omvang en het gevaar ervan niet volledig duidelijk. De administrator, die slechts een organisatorische rol heeft op het Computer!Totaal-forum, heeft elk risico willen vermijden en heeft het enige gedaan dat in zijn macht lag: het forum uitgeschakeld totdat duidelijk was wat er mis was. De timing van de daders was voor hen perfect (ook al konden ze dat niet weten). De webmaster was door omstandigheden enkele dagen afwezig. De feestdagen zorgden ervoor dat we pas vandaag hebben kunnen kijken naar de oorzaak. Toen pas bleek de pietluttige omvang van het probleem, dat gelukkig snel verholpen kon worden. Het forum valt daarnaast niet binnen de actieve noodprocedure voor de site; de daders benadeelden dan ook vooral de bezoekers van de site. Dat is meer dan jammer.

Wat is er precies gebeurd?
De forumsoftware, beter bekend als UBB (Ultimate Bulletin Board), wordt door Computer!Totaal gebruikt voor de website vanwege de gebruiksvriendelijkheid voor zowel bezoekers als beheerders en is een groot succes. Het hele forum draait als programma op een webserver en genereert webpagina's op verzoek van bezoekers. Op het moment dat het forum 'denkt' dat er een hacker aan het werk is, genereert het een pagina met de melding 'we've noted your attempt to hack this forum'. Tegelijkertijd wordt een bestandje aangemaakt dat 'hacklog' heet. In dat bestand wordt de verdachte gebruiker opgeslagen met alle informatie die voorhanden is. Naam, IP-nummer, e-mailadres, wachtwoord, etc. De fout is dat het UBB dit bestand vergeet te beveiligen, waardoor het zomaar op te vragen is door gebruikers.
Door een fout in de interpretatie van een posting enige tijd geleden heeft het forum veel sneller dan normaal deze melding gegeven. Die fout is destijds opgelost, maar het hacklog stond er nog. Ook de gegevens van de administrator bleken hierin te vinden, en dus was het kinderlijk eenvoudig om het forum binnen te komen met gebruik van het account van de administrator.

Lagen uw gegevens op straat?
In principe niet. Alleen als u de eerder genoemde melding 'we've noted your attempt to hack this forum' wel eens op uw scherm heeft gezien dan is de kans groot dat uw gegevens zichtbaar zijn geweest.
Herkent u dit, volg dan de link 'profile' in de rechterbovenhoek van het beginscherm op het forum en verander uw password.

Reacties van de bezoekers van C!T

Met het weer online komen van het C!T forum werden er uiteraard vragen gesteld door het verontrustte publiek. Een berg negatieve reacties van de Forum gebruikers was onvermijdelijk.

Treffend echter vond ik metname de reactie van Danny Roodbol, beheerder van Fokzine, en degene die het bericht als eerste wereld kundig maakte in deze thread, waarvan onderstaande is gequote.
Het vetgedrukte deel is hier het oorspronkelijke bericht van de beheerder:

de thread

Ze hebben helaas het lekje (want het was een *heel* kleintje) aan de grote klok gehangen met deze actie
Voor zo'n *heeeeeel* klein lekje hoeft het forum geen weekend plat lijkt me.
Verder is er door de hackers niet openlijk bekend gemaakt WAT het lek was. Dat is alleen door mijzelf en een aantal anderen persoonlijk aan Bas gemaild.

waardoor we gedwongen werden alerlei noodmaatregelen te nemen die eigenlijk helemaal niet onmiddelijk nodig waren.
Als er passwords op straat liggen is dat wel degelijk nodig. Er zijn mensen die hun password voor meerdere doeleinden gebruiken (NOOIT doen !). Misschien is van het lek al eerder gebruik gemaakt, maar is het niet gemeld en dus onopgemerkt gebleven voor C!T en zijn andere mensen hierdoor benadeeld.

Ze hebben me pas gemaild *nadat* ze merkten dat ik nog op mijn werk was en er blijkbaar iets aan kon doen.
Op het moment dat de forumtitel werd veranderd begonnen we met tikken van het mailtje. De hackers gingen er - naar later bleek onterecht - van uit dat er ook buiten kantooruren wel op de site gelet werd.

Het forum was toen al aangepast en in feite onbruikbaar gemaakt door de coole postings en mijn veranderde password.
Je password is veranderd op een manier zodat zelfs de hackers het niet meer konden achterhalen, en wel door UBB een nieuw password te laten genereren en naar je te laten mailen. Dat is gedaan zodat anderen die er eventueel eerder al in geslaagd waren je password op die manier te vinden meteen buiten te sluiten.

Ik ben blij dat ik er met wat collega's was om het forum af te sluiten, anders had het gedurende pasen online gestaan MET lek.
Precies wat er gebeurd was als er GEEN melding van gemaakt was bedoel je ?

Stom toeval, en dus een ondoordachte actie die moeilijk uit te leggen is als 'hulp'
Als je het veiliger maken van je UBB zodat passwords van jezelf en je gebruikers niet als hulp beschouwt dan weet ik 't ook niet meer. Zoals ik al via mail tegen een van je collega's heb gezegd, een volgende keer zullen we je onze hulp besparen. Maar kom dan achteraf niet klagen dat je board opeens leeg is. Er werd door een aantal mensen een lek ontdekt, daar is een klein grapje mee uitgehaald en je bent erover gemaild inclusief instructies hoe je het kon oplossen. Meer konden we niet doen en als een grapje als Online in Offline veranderen ervoor zorgt dat het hele board platgegooid wordt voor een paar dagen vraag ik me serieus af wie de boel daar organiseert.

Op de frontpage zeg je dat het kinderlijk eenvoudig was om binnen te komen. Dat was het ook en dat is dus precies waar het gevaar in zat.

Op het moment dat het forum 'denkt' dat er een hacker aan het werk is, genereert het een pagina met de melding 'we've noted your attempt to hack this forum'. Tegelijkertijd
wordt een bestandje aangemaakt dat 'hacklog' heet. In dat bestand wordt de verdachte gebruiker opgeslagen met alle informatie die voorhanden is. Naam, IP-nummer, e-mailadres, wachtwoord, etc. De fout is dat het UBB dit bestand vergeet te beveiligen
De fout is dat de webmaster vergeet het te chmodden naar 662. Verder denk ik dat heel veel hackertjes in spé nu ontzettend dankbaar zijn dat je precies uit de doeken doet hoe een flink aantal van de tienduizenden UBB forums te hacken zijn.

Open brief aan redactie C!T

Omdat in de officiele melding van het gebeurde door C!T direct naar Tweakers wordt gewezen, ziet Tweakers.net zich gedwongen de volgende open brief aan de Redactie van Computer!Totaal Online te sturen.

Open brief - Forum offline tijdens Pasen

Geachte Computer!Totaal Redactie.

Een korte reactie op uw artikel over het offline zijn van uw forum.

Teleurstellend vinden wij het als beheerder en eigenaars dat Tweakers.net ook door ComputerTotaal meegetrokken wordt in de daad van de door u gehekelde "onverlaten". De actie is door individuele bezoekers van Fokzine en Tweakers.net uitgevoerd. Zoals het bericht op de site staat wordt Tweakers.net als geheel mede verantwoordelijk gehouden.

Hoewel begrijpelijk dat Bas het forum heeft platgelegd vinden wij het niet terecht dat dit aan de hackers wordt toebedeeld. Natuurlijk, het kwam met Pasen zeer ongelukkig uit, maar heel eerlijk gezegd had het plat leggen zowieso moeten gebeuren. Waarom?

De "hackers" zijn achter een fout gekomen waardoor met name beheerders passwords van o.a. Bas Poppink op straat kwamen te liggen. Passwords die zeer schadelijke gevolgen hebben indien kwaadwillend toegepast.
Natuurlijk, de fout bestond al vele malen langer, maar we wisten er niet van. Als beheerder vind ik het essentieel om uit oogpunt van beveiliging dergelijke lekken af te schermen zodra dit mij ter ore komt.
de hackers zijn er achter gekomen en konden # dingen doen:

Hun mond houden en eventueel lekker onopgemerkt gaan klooien.
Onze mening is, net als die van de hackers, dat dit onetisch is. Wij zouden het als een plicht zien er melding van te maken bij de betreffende beheerders. En als men er uiteindelijk achter was gekomen dat de hackers er van wisten waren de rapen helemaal gaar geweest.

Stilletjes het lek door seinen aan de beheerder en verder stil houden.
Wat had Bas in dit geval anders kunnen doen? ook dan had hij het forum dicht moeten zetten. puur uit bescherming van de data. Als hij dat niet had gedaan had hij willens en wetens zijn forum risico laten lopen. (zolang de fout niet bekend was kon hem ook niet verweten worden dat hij er niets aan deed, maar nu wist hij er van.) Als hij besloten had het forum 4 dagen extra open te houden, en het was fout gegaan in het afgelopen weekeinde, dan waren de gevolgen niet te overzien geweest. Bij Tweakers.net hebben we meermaal door buggy code in UBB onze data moeten dumpen, en dat is uitzonderlijk jammer voor je historie.

Een geintje uithalen en de beheerder inlichten.
Hetgeen is gebeurd, en als gevolg werd Bas openlijk gedwongen om het forum stil te leggen. Als Bas naar eer en geweten, en daar vertrouwen wij volledig op, in stilte ook de boel had laten sluiten, is er geen verschil met deze situatie.

Dat men vanuit C!T op een dergelijke manier, zowel op het C!T forum als bij Tweakers hier zo'n enorme heisa van heeft gemaakt, en dat klaarblijkelijk 5 dagen nadien nog steeds doet, geeft mij de indruk dat C!T zich als ogranisatie zich door de daad van de open kraak (waarvan de veranderingen minimaal waren, een of twee moderator accounts en Online veranderen in Offline, en die door de hackers letterlijk allemaal aan Bas waren doorgegeven) behoorlijk aangetast voelt in haar eer. Waarom? Zoals terecht opgemerkt door Bas Poppink is het lek te wijten aan een fout in de broncode van UBB. Daaruit volgt dat dit niet kan worden geweten aan de "hackers" die dit blootgelegd hebben.

We zullen niet verkondigen dat de jongens hulde verdienen, daar denkt ieder namelijk het zijne over zoals in de discussie op Tweakers.net naar voren kwam, maar het falen van UBB, (de software, en beslist dus NIET de beheerder ervan, laat dat duidelijk zijn) en het offline zijn van het Forum gedurende Pasen mag naar ons inzicht niet op de zogenaamde daders afgewikkeld worden, en de directe beschuldiging naar Tweakers.net zelf betreuren wij zeer.

Met vriendelijke groet.

Reinder Gerritsen
Hardware Director en Systeem beheerder Tweakers.net

Femme Taken
Editor in Chief Tweakers.net