Onlangs beweerde een oud lid van Anonymous, beter bekend als CyberZeist, dat hij erin slaagde het CMS van de FBI-website te hacken en alle inloggegevens van FBI-functionarissen had gelekt.
FBI gehackt!! Hacker lekt gegevens van FBI-functionarissen online
“Loyaliteit, moed en integriteit” is het motto van de FBI, maar gezien de gebeurtenissen van de afgelopen tijd lijkt het erop dat van dat laatste weinig wordt uitgegeven. In ieder geval wat betreft de integriteit en veiligheid van hun gegevens, want de computersystemen van dit federaal agentschap zijn opnieuw geschonden of zo lijkt het.
Het verhaal gaat als volgt: een hacker genaamd CyberZeist heeft op Twitter opgeschept dat hij de officiële website van de FBI (fbi.gov) heeft gehackt. Het mysterieuze onderwerp had in ieder geval de beleefdheid om het beveiligingslek op 22 december aan te kondigen, zodat de FBI de tijd kreeg om de problemen op te lossen, voordat het op Pastebin-gegevens van maximaal 155 agenten van deze organisatie openbaar werd gemaakt. Informatie die de namen, e-mailadressen en gecodeerde wachtwoorden online bevat.
De aanvaller maakte gebruik van een kwetsbaarheid in ‘zero-day’ in het CMS, een open source contentmanagementsoftware die door de FBI wordt gebruikt om hun website te beheren. Dankzij dit gat slaagde CyberZeist erin om met de hacker bestanden op de lokale server op te nemen en enkele Python-plug-ins te manipuleren.
https://t.co/IRhqdQjNbp CMS Exploited, bestanden in beeld – PasswordResetTool.py, productrechten, installatiebestand. Binnenkort meer #FBI #PWNED pic.twitter.com/3zpCvl652k
— CyberZeist (@cyberzeist2) 22 december 2016
Het ergste is dat sommige bronnen beweren dat de details van deze kwetsbaarheid te koop zouden zijn op het Dark Internet, waarmee nieuwe cybercriminelen deze lijn zouden kunnen volgen om nieuwe aanvalsvectoren te ontdekken.
Dat ondanks het feit dat CMS tegenwoordig wordt beschouwd als een van de veiligste contentmanagers, wordt gebruikt door organisaties als de FBI, de CIA, zelfs de techgigant Google doet hetzelfde. Sterker nog, CyberZeist heeft organisaties als Amnesty International, het Coördinatiecentrum voor Intellectuele Eigendomsrechten of de Network and Information Security Agency van de Europese Unie, die dit systeem ook gebruiken, al gewaarschuwd.
De controverse komt met het volgende: Plone CMS heeft al de lancering aangekondigd van een dringende beveiligingspatch voor 17 januari. Natuurlijk beweren ze op dit moment van het team van dit systeem dat “er geen bewijs is dat de problemen zijn opgelost door de patch actief exploiteren.”
De functionarissen van de FBI beweerden echter dat de gaten niets te maken hebben met de aanval van CyberZeist, en verklaarden dat de hele aanval is gedaan met behulp van “Photoshop” en dat de gegevens die waarschijnlijk openbaar zullen zijn vals of nep zijn.