Het Amersfoortse beveiligingsbedrijf ISSX heeft de server van Brenno de Winter gehackt om de IT-journalist een lesje te leren, ook al was de aanval niet persoonlijk bedoeld. Dat zegt directeur Ronald Kingma in een interview met Security.nl. Het bedrijf wist via een onbekend lek in de TWIG webapplicatie toegang tot de server van De Winter te krijgen, die zelf een aantal configuratiefouten had gemaakt. "We hebben niet zijn e-mail gezien", zegt Kingma, die opmerkt dat dit een beetje wordt opgeblazen door de media. Er is dan ook geen e-mail geopend, hoewel dit wel had gekund. "Dan hadden wij verder moeten gaan, maar dat hebben we niet gedaan."

Het doel van de operatie was het testen van de veiligheid van de Winter zijn servers. Die rapporteerde via Lektober elk dag een lek in de website van een overheidsinstantie of bedrijf. Daarbij zou de journalist hoog van de toren hebben geblazen. "We wilden zien hoe hij het zelf had gedaan", gaat Kingma verder. Via het TWIG-lek kon men toegang tot een configuratiebestand krijgen waar de gebruikersnaam en wachtwoord van zijn database in stond. De Winter had phpMyAdmin publiek toegankelijk op het internet staan. "Op die manier konden wij inloggen en al zijn databases bekijken."

De gebruikte zero-day kwetsbaarheid in TWIG heeft het bedrijf zelf ontdekt en houdt niet verband met een lek dat in 2007 op de Full-Disclosure mailinglist werd gerapporteerd. De kwetsbaarheid is inmiddels door ISSX aan TWIG gerapporteerd. De software werd mede door Brenno de Winter ontwikkeld.

Integer
Het beveiligingsbedrijf benadrukt dat het normaal geen websites of servers van anderen hackt. "We zijn integer en professioneel genoeg en houden ons aan de geheimhoudingsovereenkomst." In dit specifieke geval wilde de beveiliger een vuist tegen Lektober maken, dat veel te ver zou zijn gegaan. In eerste instantie wilde men de aanval anoniem uitvoeren, maar later besloot men de sporen toch niet te wissen. De Winter ontdekte een IP-adres van het bedrijf in de serverlogs.

"Wij kunnen het wel via anonieme proxies en Tor-netwerken doen, daar hebben wij ook de kennis van, maar wij hebben het opzettelijk van ons eigen IP-adres gedaan." Het bedrijf had de intentie om De Winter vandaag te bellen en verdere uitleg te geven. "Alleen is het nieuws iets anders gelopen dan bedoeld."

Sommige klanten van ISSX zouden het een "strakke actie" vinden. "Die staan er ook achter", merkt Kingma op. "De andere kant hebben we nog niet gehoord, klanten die vinden dat het vertrouwen een beetje weg is." De Telegraaf-journalist die door ISSX werd ingelicht zou geen persoonlijke of gevoelige informatie hebben ontvangen. Volgens Kingma was niet de persoon De Winter het doelwit, maar "Brenno als woordvoerder van Lektober."

Lekken
Het beveiligingsbedrijf ontdekte meer systemen van De Winter die aan het internet hangen en waar zich kwetsbaarheden in bevinden. "Er waren dus meerdere manieren om binnen te komen." Het bedrijf maakte een document waarin het alle kwetsbaarheden heeft beschreven. "Dat moet de Winter nu oppakken." Kingma stelt dat de aanval niet uit eigen belang is gedaan. "Het is jammer genoeg snel in de media geëxplodeerd." Daarbij heeft de directeur ook zijn vraagtekens over de vermelding dat het om een cyberaanval op De Winter zou gaan.

Verder stelde de journalist dat de aanval zondagochtend zou hebben plaatsgevonden, maar dat was niet het geval. "De echte hack heeft niet op zondagochtend plaatsgevonden, dus mogelijk is er ook iemand anders die iets bij hem gedaan heeft."

Via de aanval was het mogelijk om volledige controle over de server te krijgen, maar dat heeft het bedrijf bewust niet gedaan. "Die mogelijkheid was er wel, maar dan zou je een streepje te ver gaan. We konden via een truc het configuratiebestand tevoorschijn toveren. Zijn website draait met de user root naar de database toe, iets wat niet verstandig is."

Beginnersfout
Naast de gemaakte screenshots van de database is ook het passwd bestand opgevraagd. "Je zou Netcat kunnen achterlaten zodat er een reversed shell wordt opgezet. zover zijn we niet gegaan." Iedereen met een beetje kennis van IT zou echter weten dat als je root en toegang tot phpMyAdmin hebt je nog veel meer zou kunnen doen, laat Kingma weten.

Ook systeembeheerders kunnen een les uit de aanval leren, namelijk het niet online plaatsen van applicaties die niet op het internet horen. "En alleen de poorten openzetten die je echt nodig hebt, zoals poort 80 en 443." Op infrastructuur niveau zouden beheerders naar servers en services moeten kijken of daar geen kwetsbaarheden in aanwezig zijn.

"Bij hem was het een opeenstapeling van meerdere kwetsbaarheden. Eigenlijk een beginnersfout. Een phpMyAdmin zet je niet op het internet. Ook het gebruik van de TWIG applicatie was geen slimme zet. Er zouden nog veel meer lekken in zitten, waaronder SQL Injection. "Dat is ook het stukje als je heel hard roept dat je alles van beveiliging weet en waar je je allemaal aan moet houden, maar als je dat zelf niet doet, is dat jammer."

Rijk rekenen
Zoals gezegd was De Winter één van de ontwikkelaars van TWIG. "Ooit heb ik zelf mee ontwikkeld aan het project en ik heb er een band mee. Eigenlijk had ik de software al moeten deactiveren. Nogal dom om het niet te doen. Toch had ik niet gerekend op een 0-day lek. Ik rekende mijzelf iets te makkelijk rijk met het feit dat er geen bekende lekken waren met TWIG", laat hij tegenover Security.nl weten.

Wat betreft de communicatie met tipgevers zou die nooit in gevaar zijn geweest. "Als mensen zich per mail melden dan verdwijnen die mailtjes al snel naar een server, die niet online toegankelijk is. Liever communiceer ik via andere kanalen. Andere e-mailaccounts op servers als het moet, al jaren crypt ik in ieder geval gevoelige mail. Ik gebruik diverse Jabber-accounts, crypted telefoongesprekken. Dus ik varieer nogal. Dat doe ik bewust, omdat ik besef dat ik kwetsbaar ben voor gerichte aanvallen." Daarnaast gebruikt De Winter ook PGP voor de reguliere communicatie.

Rootkit
Na de hack heeft de journalist zijn logs veiliggesteld, iets wat ook al automatisch gebeurde. Daarnaast heeft hij een onderzoek gestart waar de aanval vandaan kwam en of hij nog dingen over het hoofd had gezien. Verder wijzigde De Winter zijn wachtwoorden. "Daarnaast ben ik een zoektocht naar rootkits gestart en heb een herinstallatie van de server gepland. Ik heb ook in de configuratie dingen gevonden die wel beter konden. Phpmyadmin heb ik verwijderd. Dat beschouw ik zelf wel als een misser dat ik dat niet eerder heb gedaan."

Ook De Winter merkt op dat er geen e-mails zijn gestolen. "Ze hadden toegang tot de interface, maar nog niet tot IMAP (e-mail) zover ik kon zien. Maar ik heb in de melding naar buiten wel het ergste gemeld. Daar moet je gewoon vanuit gaan. Dan kan het altijd meevallen." Voor de toekomst wil De Winter kijken of hij sneller op dit soort incidenten kan reageren. "Op zich was de aanval woensdag wel te detecteren geweest. Dan was de aanval mislukt. Ik blijf wel realistisch. Iemand die mij moet hebben zal dat wel lukken. Dus kijk ik ook om misschien toch minder via mijn eigen servers te doen. Maar dit voorkomen kun je niet."

Voor systeembeheerders heeft De Winter ook nog een advies. "Niet veel meer dan waakzaam zijn voor ISSX of andere beveiligingsbedrijven."