Flash-bannerhack waarschuwing: Klembord gekaapt.

Niet zomaar overal op klikken is (weer maar eens) een goede raad. Zelfs zeer bekende websites kunnen gehackt worden zoals je kan lezen in volgend artikel (nieuws van 20 augustus 2008)

Sites als Digg, Facebook, Hotmail Newsweek en MSNBC blijken ongewild malware aan te bieden via malafide Flash-advertenties. De malware treft alle grote browsermerken onder Linux, Mac OS X én Windows. Surfers die op een pagina met een malafide banner terechtkomen en op een banner klikken, zien hun klembord gekaapt worden. Concreet wil dit zeggen dat een URL zich nestelt op het klembord. Het verwijderen lukt niet, zelfs niet als u een ander stuk tekst selecteert en kopieert. Uiteraard verwijst de URL naar een website met nog meer malware, deze keer vermomd als antivirussoftware. Wellicht hopen de hackers dat slachtoffers bij een volgende plakactie – al dan niet abusievelijk – zullen klikken op de URL die dan verschijnt. De beveiligingsexpert Aviv Raff heeft een demo online geplaatst die toont hoe de aanval via Actionscript in Flash werkt. Na het op deze pagina klikken van de link "Adobe Flash Clipboard hijack attack" wordt op het klembord de tekst "www.evil.com" geplaatst. Pas als u de browser sluit, kunt u opnieuw iets vers op het klembord plaatsen. Volgens sommige bronnen zouden de malafide banners op talloze grote sites zijn opgedoken. Het is echter onduidelijk of dit ook klopt. Fabrikant Adobe van zijn kant spreekt nog over een "mogelijk" probleem met Flash, maar blijft verder op de vlakte. "Momenteel onderzoeken we potentiële oplossingen voor deze kwestie. We zullen klanten binnenkort updaten als we meer informatie hebben om te geven", valt bij Adobe te lezen.

Bron: http://www.skynet.be

Een andere soort hack is het 'overnemen' van websites waarbij de startpagina bijvoorbeeld veranderd wordt en de hacker een soort van handtekening achterlaat. Een prachtig voorbeeld zijn de hacks van de websites van vtm, 2BE en JIM enkele maanden geleden.
Onderstaand artikel komt uit Het Laatste Nieuws:

Onbekenden hebben vanochtend de websites van vtm, 2BE, JIM en JIM Mobile gehackt. Rond 16 uur waren ze weer online. Dat zegt Martijn Bal, hoofd content Digitale Media van de Vlaamse Mediamaatschappij (VMMa). De sites van iWatch, 4fm en Q-Music werden niet gehackt.

Pakistan
De sites werden omstreeks 8 uur gehackt en de hackers lieten de volgende boodschap achter: "xOOmxOOm ownz this Server, nothing was deleted. just to inform you that u r not secure, nothing is secure". Verder was "Pakistan, Zimdabad" (Lang leve Pakistan) te lezen. Een minuut later werd de surfer naar de website van de "last prophet" gestuurd, volledig gewijd aan de profeet Mohammed.

Offline
De technici van de VMMa hebben de sites zo snel als mogelijk offline gehaald. "Momenteel kennen we de virtuele identiteit van de dader of daders. De echte identiteit is nog niet bekend", legt Martijn Bal uit.

Onderzoek Computer Crime Unit
De VMMa heeft ook onmiddellijk de Computer Crime Unit (CCU) op de hoogte gebracht. Technici van de CCU zitten momenteel in de lokalen van de VMMa aan de Medialaan in Vilvoorde en onderzoeken de zaak.

Klacht bij parket
De VMMa gaat ook zeker klacht indienden bij het parket, aldus Bal. Het is niet bekend wanneer de websites van de zenders terug online zullen zijn.

Bron: http://www.hln.be

Joomla-lek legt massaal websites plat!!

Dit artikel is nieuws rechtstreeks van de Joomla-website. Zeer belangrijk voor iedereen die zijn/haar website in Joomla opgezet heeft. Direct upgraden is aangeraden!

"Zojuist is Joomla! 1.5.6 [Vusani] vrijgegeven. Deze versie is eerder vrijgegeven dan gepland vanwege het ontdekken van een groot veiligheidslek. Door een fout in het reset mechanisme is het voor een willekeurige bezoeker mogelijk het wachtwoord van de user met de laagste userid te resetten. Doordat dit standaard vanuit Joomla! de administrator is, kan dit een groot gevaar opleveren.

Dit probleem geldt voor alle eerdere versies van de Joomla! 1.5.x serie, 1.5.0 t/m 1.5.5, en het is aan te raden direct te upgraden."

Een snelle tijdelijke oplossing kan je hier terugvinden.

Wat is een rootkit? Rootkits detecteren? ...

Wat is een rootkit?
Oorspronkelijk komt de term rootkit (of root kit) uit de UNIX/Linux wereld. De gebruiker met de meeste rechten, zeg maar de Administrator van Windows-pc's, heet daar namelijk 'root'. Een hacker kan weinig beginnen op zo'n systeem zonder de rechten van deze gebruiker. Een van de eerste prioriteiten is daarom het verkrijgen van root-rechten. Maar als een binnendringer eenmaal root-rechten heeft, is het natuurlijk wel leuk om ze te houden: dan kun je ook later nog misbruik maken van de pc.

Een rootkit is van origine juist daarvoor gemaakt: een verzameling aangepaste standaardtools (zoals 'ps', wat processen weergeeft, 'who' om te zien welke gebruikers ingelogd zijn) die de stiekeme root-gebruiker niet verraden.

Tegenwoordig is een rootkit een verzamelnaam voor software die - ook op andere besturingssystemen, waaronder Windows - bestanden en processen verbergt. Ook bevat een rootkit meestal software om toetsaanslagen te verzamelen (keylog-functionaliteit) en achterdeurtjes in het systeem te bouwen. Daarnaast komen rootkits in verschillende 'smaken' voor: kernel rootkits (bijzonder lastig, werken op het diepste niveau), library rootkits en applicatie rootkits.


Hoe kom je aan een rootkit?
Een rootkit kan op vele manieren je systeem binnen komen. In het 'beruchte' geval van Sony BMG werd de rootkit via speciale afspeelsoftware geïnstalleerd, ongeacht of je er toestemming voor gaf. Andere rootkits kunnen door binnendringers geïnstalleerd worden, of komen met (onbetrouwbare) software mee. De laatste tijd maken ook meer en meer virussen en andere malware als spyware gebruik van rootkits. De bekende truc van virussen (of eigenlijk mailwormen) om de processen van antivirussoftware, firewalls, regedit en vergelijkbare software te stoppen, zou als rootkit-functionaliteit aangemerkt kunnen worden. Immers: detectie van de worm wordt zo voorkomen, of op z'n minst uitgesteld.


Wat doet een rootkit?
Rootkits zijn bedoeld om kwaadwillenden (of hun software) ongemerkt hun gang te laten gaan. Zo kan een rootkit gebruikt worden om specifieke bestanden te verbergen voor de gebruiker, bijvoorbeeld logbestanden waarin wachtwoorden worden verzameld. Die wachtwoorden kunnen verzameld worden door een keylogger, een programma dat alle toetsenbordaanslagen opslaat. Wanneer daar wachtwoorden tussen zitten, is het een kleine moeite die uit de opgeslagen aanslagen te filteren. De keylogger zelf krijg je nooit te zien, aangezien de rootkit zowel de bestanden als de processen van de keylogger verbergt.
Een achterdeurtje (om op afstand toegang tot de pc te krijgen) kan normaal gesproken door antivirussoftware en firewalls gedetecteerd worden. Een rootkit zorgt ervoor, dat het achterdeurtje lange tijd ongemerkt gebruikt kan worden. Zo zijn er oneindig veel toepassingen voor rootkits te bedenken: een 'hacker' hoeft het alleen te bedenken en de rootkit aan te passen aan de wensen.

De reden waarom rootkits niet een 'ver-van-je-bed-show' zou moeten zijn, is dat je computer - en alle gegevens daarop - ongemerkt toegankelijk voor kwaadwillenden kan zijn. Een normaal virus wordt over het algemeen gedetecteerd, maar verstop een keylogger met een rootkit, en elk ingetikt wachtwoord kan jarenlang naar een aanvaller verstuurd worden. Het venijn zit 'em dus in het stiekeme: ongemerkt kan iemand toegang hebben tot je computer, je persoonlijke gegevens, wachtwoorden, bankgegevens, noem maar op. En geen virusscanner die aan de bel trekt...


Hoe detecteer en verwijder je rootkits?
Hoewel rootkits in principe gemaakt zijn om hun werk onopgemerkt te doen, zijn sommige beveiligingsprogramma's toch in staat ze te detecteren. Zelfs antivirussoftware wordt er beter in, mede dankzij het Sony BMG verhaal (veel AV-fabrikanten merkten de XCP-software - de rootkit-component van de gewraakte cd's - niet aan als rootkits, maar onder druk van publieke opinie veranderde dat). Bedenk wel dat op een mogelijk geïnfecteerd systeem - in theorie - niets meer vertrouwd kan worden: hoe weet je of je niet door de rootkit voor de gek wordt gehouden?

Er zijn echter ook gespecialiseerde rootkit-detectors. Voor Windows zijn de bekendste detectoren Blacklight (een beta-versie) en Rootkit Revealer (eveneens gratis). Deze laatste is overigens mede-ontwikkeld door de man die het Sony-balletje aan het rollen bracht.
Het verwijderen van rootkits is echter een kwestie van persoonlijke keuze. Het is weliswaar mogelijk een rootkit (afhankelijk van het type: volledig) van het systeem te verwijderen, maar hoe veilig is dat? Een standaard werkwijze voor beheerders van computers (niet de doorsnee thuisgebruiker dus) is het helemaal opnieuw installeren van het besturingssysteem. Uiteraard gebeurt dat na het redden van zoveel mogelijk (ongeïnfecteerde) data...

Dit artikel stond oorspronkelijk op planet.nl en heb ik hier gepost omdat ze de website van planet helemaal veranderd hebben (zelfs van naam) en dit artikel nu verdwenen is. Het is in ieder geval interessant genoeg om te onthouden! ;-)

GMAIL beveiligen tegen nieuwe hack! (Nieuws van 11 augustus 2008)

Aangezien ik zelf regelmatig Gmail gebruik en ik weet dat de meesten onder jullie ook een account hebben, wil ik jullie op de hoogte brengen van een hack die al lang geleden ontdekt is (door Mike Perry), maar waar Google nu een oplossing voor gevonden heeft. Bij de instellingen van Gmail is nu een extra optie gekomen: helemaal onderaan in het eerste tabblad (Algemeen) bij browserverbinding moet je "altijd https gebruiken" aanvinken. Het nadeel is dan wel dat het de mail vertraagt.De hack (sidejacking genoemd) gebeurt zo:
Als je inlogt bij Gmail, zullen de servers van Google een zogenaamde ‘sessie cookie’ of ‘GX-cookie’ op uw machine zetten. Met deze cookie kan je tot twee weken ingelogd blijven, mits je niet handmatig uitlogt. Na die periode verstrijkt de cookie en moet je opnieuw inloggen.
Het probleem is dat de cookies van Gmail er geen rekening mee houden of je nu wel of niet bent ingelogd via een beveiligde verbinding; ze worden hoe dan ook verstuurd. Een aanvaller die het verkeer op uw netwerk bespioneert, kan hier misbruik van maken. Zodra u na het inloggen een andere webpagina oproept, kan hij kleine afbeeldingen of andere content van mail.google.com injecteren in die pagina. Na het laden van deze geinjecteerde elementen zal uw browser de GX-cookie met inloggegevens tonen. De aanvaller die het verkeer op uw netwerk afluistert, hoeft dan de cookie alleen nog op zijn machine te laden, om in uw inbox te komen.

BELANGRIJK!! De truc werkt ook bij andere websites die net als Gmail bij het verzenden van cookies geen rekening houden met het type verbinding. Hieronder zijn grote namen als Facebook en Amazon.

Meer informatie kan je nalezen in het (Engelstalig) artikel van Brian Krebs op http://www.washingtonpost.com.

Of een filmpje van nog een andere onderzoeker waarin je kan zien hoe ze (heel simpel) inloggen met je paswoord in je gmail-account:

Surf Jacking Gmail demonstration from Sandro Gauci on Vimeo.