FBIのWebサイトがハッキングされ漏洩データがPastebinに公開される

『Security Affairs』

January 16, 2017 10:00
by 『Security Affairs』

悪名高いブラックハットのハッカーCyberZeist (@cyberzeist2)が、FBIのウェブサイトFBI.govに侵入し、Pastebinにデータをリークした。

そのハッカー(CyberZeist)は、複数のバックアップファイル(acc_102016.bck、acc_112016.bck、 old_acc16.bck等)で見つけたFBI.GOVのアカウントを漏洩させた。漏洩した記録には、名前やSHA1暗号化のパスワード、SHA1 saltやメールなどのアカウントデータが含まれていた。

侵入が起きたのは2016年12月22日のことだ。そのハッカーは、コンテンツマネージメントシステム『Plone』のゼロデイ脆弱性にエクスプロイトを仕掛けたことを公表した。
「遡ること2016年12月22日、それまで最も安全なCMSだと考えられていたPloneのゼロデイ脆弱性について私はツイートした。このCMSは、FBIを含めた多数のトップエージェンシーが使用している」

エクスプロイトを仕掛けたCMSのゼロデイは、自分が発見したわけではないとCyberZeistは説明している。彼はFBIとAmnestyのウェブサイトで、それをテストする役割を果たしただけだった。知的財産権調整センター(Intellectual Property Rights Coordination Center)やEUのネットワーク情報・セキュリティ機関など、他のウェブサイトも同じゼロデイ攻撃に晒されている可能性がある。

この脆弱性は、そのCMSのPythonモジュールの一部に存在している。

このハッカーは、ハッキングを行った直後に、ダウンしたFBIのウェブサイトの画像もツイートした。

このゼロデイをCyberZeistがテストした理由は、「それをFBIのウェブサイトに対して行うことは、ベンダーにとってはあまりにも恐ろしくできなかったため」だった。「ドイツやロシアのメディアは、このハッキングのニュースを報じているにも関わらず、米国を拠点とするメディアは無視している」という点にもCyberZeistは注目している。

CyberZeistによると、FBIはリークを見送るよう彼に連絡してきたという。

「FBI.GOVをハッキングして入手したものをリークしないようにと、様々な所から連絡が来たが、私は全て拒否した。なぜかって? 私はFBIの反応を待っていたからだ。彼らは直接的な反応を示さかったので、彼らが何をするつもりなのかはまだ分からない。しかし、その時点で私はFBI.GOVのハッキングで見つけたものを抜き出していたのだ」

FBIの専門家がこの問題の修復に取り組んでいる間にも、CyberZeistは攻撃の詳細情報を追加し、「Ploneのゼロデイのエクスプロイトが、現在でもCMSのバックエンドに対して有効である」ということを公表した。

「私はルートを入手することができなかった(当然だ!)。しかし、彼らが2007年から独自のカスタム設定でFreeBSD ver 6.2-RELEASEを動作させているということを、私は調査によって確認していた。それが直近にリブートを行った時刻は、2016年12月15日午後6時32分だった」と彼は付け加えた。

ウェブサイトの管理者は、たとえば同じサーバー上にバックアップファイルを晒すというような、いくつかの残念なミスを犯したようだ。そこにアクセスするハッカーにとっては(たとえ、それを直ちに公開しないことにしたとしても)、まるで冗談のような話だ。

「FBI.GOVをエクスプロイトしたとき、『FBIのウェブマスターは、サイトのルートの置き場所と同じフォルダーにバックアップファイル(.bck extension)を保存するような怠けた態度であることに疑いの余地はなかった(ありがとう、ウェブマスター!)。しかし私は、そのバックアップファイルのコンテンツ全体をリークしたわけでない。その代わり自分の研究結果や考えをツイートして、FBIの反応を待っている」

CyberZeistは、「lo4fer.」と呼ばれるハッカーが、このゼロデイをTorで販売しているということを認めた。
「そのゼロデイの販売が終了したときには、私からPloneのゼロデイの攻撃ベクトルについてツイートしよう」とCyberZeistは付け加えた。

CyberZeistがFBIのウェブサイトをハッキングしたのは今回が初めてではない。彼はAnonymousの関連グループの一員だった2011年にもFBIのデータベースに侵入している。

好奇心をそそるような話で終わろう…… CyberZeistはあなたに、次のターゲットを選ぶよう呼びかけている。

https://www.poll-maker.com/poll885856x749D3f82-36.

CyberZeistは非常に有名なハッカーで、?BarclaysTesco BankMI5を餌食にしたことでも知られている。

CyberZeistと接触したければ、Pastebinで彼のページを訪れると良い。
http://pastebin.com/u/CyberZeist2
 
翻訳:編集部
原文:FBI website hacked by CyberZeist and data leaked online
※本記事は『SecurityAffairs』の許諾のもと日本向けに翻訳・編集したものです。




ホワイトハッカーが中国個人情報闇売買市場の裏取引価格を暴露

April 24, 2017 08:00

by 牧野武文

中国IT時報は、騰訊(テンセント)が組織するホワイトハッカー集団「騰訊守護者計画安全団体」の調査により、違法流出した個人情報の闇市場での取引相場価格の詳細が判明したと報じた。 違法流出の個人情報を購入するのは詐欺や資金洗浄を行う犯罪集団だけでなく、興信所や調査会社などの合法企業が購入していることも明…

スマートフォンのセンサーからユーザーのPINコードを盗む方法

April 21, 2017 08:00

by 江添 佳代子

英ニューキャッスル大学の研究チームが、「スマートフォンのモーションセンサーを利用し、ユーザーの入力したPINコードを割り出すことができるJavaScriptの攻撃」を発表した。この攻撃はMaryam Mehrnezhad博士率いる研究チームが示したもので、1度の入力読み取りテストで70%以上、3度の…

ハッカーの系譜(11)スタートアップを養成する「Yコンビネーター」 (1) 世界に衝撃を与えたインターネットワーム

April 19, 2017 08:00

by 牧野武文

「世界を変えるような新しいアイディアはすべてがシリコンバレーで生まれている」と言われる。すべてというのは大げさにしても、新しいアイディアの多くがシリコンバレーから生まれていることは確かだ。なぜなら、新しいことをやりたい若者は、全米中から、そして今では世界中からシリコンバレーに移住をして、スタートアッ…