Besøgende på Version2 tidlig fredag morgen fik ikke serveret dagens nyhedsfix, men røg i stedet direkte videre til Shellsec.org - et dansk hackerforum. En ung Version2-læser havde nemlig fundet en sårbarhed på siden og besluttede at sende trafikken videre.
Motivet var angiveligt at gøre opmærksom på sikkerhedshullet, så det ikke blev udnyttet af andre, og samtidig have det lidt sjovt.
Sådan lyder det fra hackeren bag, der i dag kalder sig OxD3ADB33F (Deadbeef) - blot et af ellers skiftende aliasser. Version2 tog en snak med manden bag via chatklienten IRC.
»Sad blot og læste lidt på jeres side og synes generelt I har OK sikkerhed. Så begyndte jeg at lede efter nogle flaws, bare for at se om jeg kunne komme igennem,« skriver Deadbeef på IRC og fortsætter:
»Og 20-30 minutter senere fandt jeg den XSS (cross site scripting, red.).«
Som beskrevet i et blogindlæg af Version2’s chef for digitale medier udnyttede personen bag angrebet en sårbarhed i et kalendermodul. Hullet var to år gammelt og ligger i et lokationsfelt, hvor brugere kan skrive tekst, der går rent igennem til forsiden. Det udnyttede Deadbeef til at sende en omdirigering til hackerforummet.
Angrebet af ikke et resultat af en generel scanning af sårbarheder på diverse hjemmesider. Deadbeef kiggede specifikt efter huller på Version2.dk
»Læser tit på jeres side. Det er næsten blevet vane for mig at sikkerhedsteste sider, jeg bruger. Jeg havde prøvet XSS nogle andre steder, og shell upload osv., men I escapede chars fint, og shell kom heller ikke igennem,« skriver Deadbeef og fortsætter:
»Men så stødte jeg lige på det hul. Men nej, det overrasker mig ikke, at jeg kunne komme igennem. Alle har stort set fejl. Det er blot min interesse for sikkerhed og for at tage en udfordring. Jeg gør det aldrig for at ødelægge noget.«
Ifølge Deadbeef har han nuldagssårbarheder til Java liggende, og at han også kunne have udført cookiestealing. Det ville i værste fald have givet en meget større, og værre, effekt af angrebet.
Han kunne dog også have sendt udviklerne på Version2 en mail og gjort opmærksom på hullet. Men det tror Deadbeef, ikke, der var kommet så meget ud af. Derfor ville han ikke tippe udviklerne, men valgte i stedet at udstille fejlen.
»Det er i brugerens interesse at kunne se, hvilken sikkerhed, der bliver kørt med på det site, hvor deres data ligger.«
Han fortæller, at motivationen primært er at sørge for, at de sider, han selv bruger er sikre. Men der er også et element af sjov.
»Men nogle gange sidder vi da også et par stykker og gør det (leder efter sårbarheder på sider, red.) for the lulz. Synes selv, det er lidt morsomt at se alle gå “wtf”. Men det er selvfølgelig det mindste af det.«
Deadbeef siger om sig selv, at han er mellem 17 og 20 år og droppet ud af gymnasiet. Han vil gerne arbejde med it-sikkerhed, men tror ikke på, at gymnasiet og herefter ITU er vejen frem for ham. I stedet læser han mange bøger om sikkerhed og sårbarheder, og derfor tester han også de sider, han besøger.
Han fortæller, at han har overvejet at udnytte sine evner til at tjene penge på det, men at hans moral ikke tillader det.
»Hvem ville ikke gerne have lidt ekstra kroner på kontoen? Og så er der min samvittighed. Jeg vil ikke tage 10.000 kroner fra fru Hansen eller stjæle hendes søns Steam-account. Og så kommer der langt større fokus fra politiet hvis man laver f.eks carding - XSS på Version2 er de ikke så interesseret i :)«
Er du ’bare’ en scriptkiddie, eller har du mere at have det i?
»Betragter ikke mig selv som scriptkiddie :D Jeg har styr på, hvad der sker. Jeg bruger ikke tools som jeg ikke ved, hvad gør. Jeg ved alt, hvad der foregår og hvorfor, det sker.,« skriver Deadbeef og fortsætter:
»Jeg koder en del. Bl.a. C, C++, Java, Python, Weblangs. Jeg kan sagtens læse assembly, jeg ved, hvordan diverse exploits fungerer og jeg kan også selv skrive exploits. Buffer overflows string format, off by one, int, u name it :)«
Hvordan forsvarer du moralsk at redirecte siden? (jeg tænker på, at det jo er en professionel medievirksomhed, der baserer sin virksomhed på at have en fungerende hjemmeside)
»Det kan jeg ikke rigtig forsvare, men som jeg også sagde tidligere, så kom der jo fokus på fejlen. Og se hvor glade alle jeres medlemmer blev for at få oplyst at hullet var der ;)«
Deadbeef bekræftede den e-mail-adresse, der blev brugt på den Version2-bruger, der udnyttede hullet, samt oprettelsestidspunktet. Samtidig havde han en beskrivelse af fremgangsmåden. Derfor vurderer redaktionen, at det er overvejende sandsynligt, at det er Deadbeef, der står bag angrebet.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
