De recente inbraak op het forum van anti-virusbedrijf Avast waarbij de gegevens van 350.000 gebruikers werden gestolen was niet het gevolg van een lek in de forumsoftware, maar van een gecompromitteerd beheerdersaccount. Daarnaast was het forum al maanden eerder gehackt, zo stelt forumbouwer SMF.

Het forum van Avast draaide op de forumsoftware van SMF (Simple Machines Forum). Na de bekendmaking legde Avast de schuld direct bij SMF neer. "Het is nog niet duidelijk of de aanval via een zero-day-lek is uitgevoerd, of een lek dat stilletjes in SMF 2.0.7 is gepatcht en nooit is aangekondigd", aldus een woordvoerder van de virusbestrijder destijds.

SMF reageerde hierop en stelde dat het Avast om informatie had gevraagd, maar niet had gekregen. Deze oproep werd uiteindelijk wel door Avast beantwoord en de virusbestrijder verstrekte de code van de gehackte site alsmede de logbestanden van de server.

Onderzoek

SMF stelt dat het samen met Avast tot een verklaring wilde komen, maar dat het nooit meer iets van het anti-virusbedrijf heeft vernomen. Daarom besloot de forumbouwer om de resultaten van het onderzoek te openbaren. Daaruit blijkt dat de aanvaller geen beveiligingslek in SMF gebruikte om binnen te komen. Ook had de aanvaller al maanden voor de bekendmaking toegang tot het forum verkregen. Zijn aanwezigheid viel echter op toen hij iets opvallends in mei deed.

Het is dan ook de vraag hoe de aanvaller wel wist binnen te komen. Volgens SMF gebruikte de aanvaller een gecompromitteerd adminaccount van Avast. Hoewel het deze conclusie trekt heeft het hiervoor geen specifiek bewijs. De forumbouwer wijst echter naar een inbraak op het eigen forum die vorig jaar plaatsvond.

Eén van de beheerders gebruikte het wachtwoord van de SMF-website ook op een andere website. Deze niet nader genoemde website werd gehackt, waarna de aanvallers ook toegang tot de SMF-website wisten te krijgen en met adminrechten konden inloggen.

Permissies

Avast liet SMF wel weten dat het de permissies van de forumbestanden niet had vergrendeld. Een belangrijke beveiligingsmaatregel die de virusbestrijder vergeten was te nemen. Zelfs als de aanvaller het adminaccount had gecompromitteerd, had hij nog steeds een FTP-wachtwoord nodig gehad om de bestanden aan te passen waarvan de permissies waren vergrendeld.

Iets wat nu niet het geval was. Na het verkrijgen van toegang het beheerdersaccount had de aanvaller dan ook volledige controle over het systeem. SMF adviseert beheerders dan ook om overal unieke wachtwoorden te gebruiken en permissies goed in te stellen.

Hashes

Als laatste waarschuwt de forumbouwer dat SMF 1.1.x en 2.0.x SHA1 als hashingalgoritme gebruiken. Een aanvaller met voldoende rekenkracht kan hierdoor de bij Avast buitgemaakte wachtwoordhashes proberen te "kraken" en zo de bijbehorende wachtwoorden achterhalen. In versie 2.1 van de software zal de beveiliging van de wachtwoordopslag en encryptie worden aangescherpt. Aanpassingen die al in de planning stonden voordat erop het forum van Avast werd ingebroken. Avast heeft nog niet op de verklaring van SMF gereageerd. Daarnaast is het forum van de virusbestrijder nog steeds offline.