Hacker Franse televisiezender TV5 kwam binnen via vpn
De hacker die in 2015 de Franse televisiezender TV5 hackte kwam binnen via de gecompromitteerde vpn-gegevens van een derde partij. Dat blijkt uit een uitgebreide analyse van de hack waardoor de televisiezender uiteindelijk een aantal uren op zwart ging. Tijdens een recente conferentie in Frankrijk presenteerde het Franse nationale bureau voor beveiliging van informatiesystemen (ANSSI) het onderzoek naar de hack.
Op deze manier wil de organisatie kennis over het incident delen, zodat ook anderen hiervan kunnen profiteren om hun netwerken te beschermen. Uit het onderzoek blijkt dat de aanvaller op 23 januari 2015 voor het eerst toegang tot het netwerk kreeg. Een multimedia-server bleek via rdp (remote desktopprotocol) voor heel het internet toegankelijk te zijn en maakte gebruik van een standaard gebruikersnaam en wachtwoord.
De machine was echter niet verbonden met het interne netwerk en de aanvaller beschouwde het dan ook als een doodlopend einde, zegt beveiligingsonderzoeker Matt Suiche die een overzicht van de analyse online zette. De aanvaller kwam echter terug, dit keer met de gecompromitteerde vpn-gegevens van een derde partij. Via deze vpn-verbinding kreeg de aanvaller toegang tot twee Windowscomputers die voor het beheer van de camera's werden gebruikt.
Eén van deze machines werd gebruikt om een nieuwe Active Directory Administrator-gebruiker aan te maken. Hierbij maakte de aanvaller echter een fout. Hij had een Engelse gebruikersnaam voor het account gebruikt, terwijl de rest van de Active Directory Franstalig is. Iets dat de onderzoekers tijdens het onderzoek naar de hack snel opviel. Vanaf 16 februari tot 25 maart zocht de aanvaller naar andere inloggegevens en verzamelde informatie over de verschillende platformen. Daarnaast werden de gestolen inloggegevens ook getest om te kijken of ze nog werkten.
De aanvaller wist vervolgens de machine van een beheerder te compromitteren die de remote access control (RAT) bevatte waarmee de sabotage uiteindelijk werd uitgevoerd. Tijdens de sabotage wijzigde de aanvaller ip-gegevens van mediasystemen, nam socialmedia-accounts over en wiste de firmware van switches en routers. "De aanvaller was bijna drie maanden in het netwerk aanwezig en bereidde zijn sabotage-operatie zorgvuldig voor door de verzamelde informatie te controleren", aldus Suiche. De analyse bevat verder tien punten om een dergelijke hack te voorkomen en te verhelpen.
2FA lost veel van dit soort gelekte credentials op.
Die eerste deur is essentieel en heel vaak een lullig iets, een phishingmailtje bijvoorbeeld.
Vrijwel alle geavanceerde hacks maken gebruik van een eerste pure simpele lulligheid om het eerste haakje uit te gooien.
Spit het nieuws er maar op na.
Het is daarmee niet alleen een open deur maar lijkt bijna zelfs een wetmatigheid geworden.
Grappig is dat, en ook een wetmatigheid in crimi(tv)land, die aanvaller ook weer door de mand valt met een lulligheidje.
'The devil is altijd en overal en vooral te vinden in the lullige details'.
Criminelen maken er gebruik van, staatshackers en opspeurders.
Die multimedia server was voldoende geïsoleerd. .
Maar dan: bewakingscamera's (draaien niet windows) waar een apart neergezette server voor de camera's alle rechten in het ad-domein krijgt en open staat ofwel ongecontroleerd is neergezet.
Doet me denken aan het advies van ds ncsc om de installatie instructies van de leverancier te volgen. Maakt niet uit hoe slecht die installatie is.
Het andere van gedeelde Accounts met passwords op de schermen geplakt wisten we al. Een slecht secùrity beleid valt met geen enkele vendor of tool goed te krijgen.
2FA lost veel van dit soort gelekte credentials op.
Ze noemen RDP ook nergens een VPN. Beter lezen.
De RDP toegang was een en dood spoor. Pas daarna kwam hij via een VPN binnen.
Wat zouden jullie allebei ervan zeggen om ons een beetje professioneel te gedragen? Niet oppervlakkig wat roepen; geen meningen als stellige zekerheden poneren; alert zijn op alternatieve verklaringen; je baseren op feiten en niet op aannames, analogieën of vooroordelen; aannames verifiëren voordat je concludeert dat het feiten zijn; erkennen dat je niet weet wat je niet weet.
Elders de sleutel (VPN-gegevens) gejat en toen het gebouw binnen. Script kiddies dus. Losers.
Wat zouden jullie allebei ervan zeggen om ons een beetje professioneel te gedragen? Niet oppervlakkig wat roepen; geen meningen als stellige zekerheden poneren; alert zijn op alternatieve verklaringen; je baseren op feiten en niet op aannames, analogieën of vooroordelen; aannames verifiëren voordat je concludeert dat het feiten zijn; erkennen dat je niet weet wat je niet weet.
Met de genoemde feiten heb je nog genoeg op te lossen vragen. Met de lange tijd dat de Hackers zich hebben kunnen rond bewegen mag je afleiden dat een ids niet aanwezig is of gefaald heeft. De eerdere feiten net gedeelde Accounts passons op briefjes tijdens opnamen laten een slecht security beleid zien. Dat mogen we toch als feit zien zonder aannames.
In dit artikel wordt de bron beheer van camera's genoemd. Nu zij de tv camera's redelijk specialistich daar had ik niet direct aan gedacht, dat kan ook. Met bewakingscamera's uitbesteding van dat soort werk maar tegelijkertijd de apparatuur direct intern aansluiten is er veel neer ervaring en dat het goed fout gaat met cybersecurity.
Juist die achtergrond wat er speelt, wie welke beslissingen heeft genomen is het meest interessante. Het is gewoonlijk niet de techniek die faalt als echte oorzaak al wil men dat wel zo doen voorkomen. Daarmee is verantwoordelijke buiten beeld.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
