Chinese fabrikant roept producten terug na ddos-aanval
De Chinese elektronicafabrikant Hangzhou Xiongmai gaat sommige van de producten die het in de Verenigde Staten verkoopt terugroepen na de grote ddos-aanval op dns-aanbieder Dyn van afgelopen vrijdag, waardoor verschillende populaire websites slecht of niet bereikbaar waren.
Hangzhou Xiongmai maakt digitale videorecorders en onderdelen voor ip-camera's. De apparaten zijn echter van een standaard wachtwoord voorzien. Als gebruikers dit niet wijzigen kunnen ze met de Mirai-malware besmet raken. Deze malware laat de besmette apparaten vervolgens ddos-aanvallen op websites en internetdiensten uitvoeren. "Mirai is een gigantische ramp voor het Internet of Things", aldus de fabrikant in een e-mail aan verschillende media. "We moeten bekennen dat onze producten ook zijn getroffen door het illegale gebruik van hackers."
In een reactie op de aanval zal Hangzhou Xiongmai een aantal van de producten die eerder dit jaar in de Verenigde Staten werden verkocht terugroepen, de wachtwoordfunctie versterken en beveiligingsupdates voor gebruikers uitbrengen, zo meldt Reuters. Volgens de fabrikant zijn producten die het na september 2015 heeft uitgebracht niet kwetsbaar voor de aanvallen door de Mirai-malware.
Als je het aan internet hangt, moet het danwel 'dicht' zijn (ofwel: zo simpel dat het nauwelijks stuk kan), danwel geupdate worden (en wie wil dat nou van z'n videorecorder). Ofwel: hang het gewoon niet aan internet...
Volgens mij juist niet.
Al die devices zijn zo lek als een mandje, dus nu is er hopelijk wat meer focus op veiligheid.
Ik zeg: dit soort fabrikanten zijn een ramp voor het internet
Ik vind dat de verantwoordelijkheid hier bij de gebruiker ligt en niet bij de fabrikant. mirai maakt namelijk gewoon gebruik van een standaard password list van ik meen 60 passwords. Bovenstaande posts die praten over een lek in het apparaat hebben duidelijk de code van mirai niet gelezen en weten totaal niet waarover ze praten. Waarschijnlijk een paar ciso's of diso's :P
Volgens mij juist niet.
Al die devices zijn zo lek als een mandje, dus nu is er hopelijk wat meer focus op veiligheid.
Ik zeg: dit soort fabrikanten zijn een ramp voor het internet
Als er geen kopers waren die geld uitgeven aan "Action kwailiteit" waren er ook geen Action winkels (maar ik moet toegeven mij ook wel eens hieraan "bezondigd" te hebben).
Verschuiving van onbewust onbekwaam naar bewust onbekwaam is ingezet.
Nou nog een journalist die doorkrijgt dat Mirai (tijdelijk) kan worden gestopt door de IoT's te rebooten (dacht ik) of uit te zetten wanneer niet nodig, dan daalt het aantal botnetdeelnemers.
Voor degenen die hebben gereageerd in de trand van "niets met default wachtwoord aan internet hangen", de pijn bestaat-em nou juist in apparaten, waarbij de koper gebruikersnaam en wachtwoord niet KAN veranderen. Zulke troep kun je dus blijkbaar kopen bij Hangzhou Xiongmai.
Hang in het vervolg niet de rechter uit.
Volgens mij juist niet.
Al die devices zijn zo lek als een mandje, dus nu is er hopelijk wat meer focus op veiligheid.
Ik zeg: dit soort fabrikanten zijn een ramp voor het internet
Als er geen kopers waren die geld uitgeven aan "Action kwailiteit" waren er ook geen Action winkels (maar ik moet toegeven mij ook wel eens hieraan "bezondigd" te hebben).
Ik zeg: het heeft niks te maken met de prijs van een product. Helaas komt dit namelijk ook voor bij de gerenommeerde merken en dankzij Mirai en andere IoT aanvalstools.
Ik vind dat de verantwoordelijkheid hier bij de gebruiker ligt en niet bij de fabrikant. mirai maakt namelijk gewoon gebruik van een standaard password list van ik meen 60 passwords.
Dat is wel degelijk het punt. Een groot deel van de apparaten zijn daadwerkelijk lek en bij deze apparaten is voor thuisgebruikers het niet mogelijk om het wachtwoord van de telnet/ssh interface aan te passen (de wachtwoorden zijn hardcoded opgenomen in de firmware).
Graag eerst wat verder verdiepen in de materie voordat je dit soort opmerkingen maakt.
Voor degenen die hebben gereageerd in de trand van "niets met default wachtwoord aan internet hangen", de pijn bestaat-em nou juist in apparaten, waarbij de koper gebruikersnaam en wachtwoord niet KAN veranderen. Zulke troep kun je dus blijkbaar kopen bij Hangzhou Xiongmai.
(1) jzoals Brian Krebs, the guardian, the register, ....?
(2) niet alleen bij Hangzhou Xionmai maar ook bij andere leveranciers. Xiongmai is een grote leverancier van niet alleen eigen producten maar ook leverancier aan downstream vendors. In welke apparatuur kwetsbare componenten van Xiongmai zitten is nu nog onbekend. Overigens geldt dit ook voor andere leveranciers.
Zie betere berichtgeving bij tweakers.net
https://tweakers.net/nieuws/117097/chinese-fabrikant-roept-apparaten-terug-die-bij-dyn-ddos-gebruikt-werden.html
http://www.computerworld.com/article/3134097/security/chinese-firm-admits-its-hacked-products-were-behind-fridays-ddos-attack.html
Je kan de password veranderen bij hangzhou xiongmai apparaten, maar vele gebruikers zijn te lui om het te doen.
Mirai werkt met default passwords , als je het niet veranderd dan ben je de pineut.
Ik hoop dat dit response wordt geplaatst en niet wordt verwijderd.
Sorry voor de links naar andere website, maar hoe meer bronnen des te beter.
Ik zeg: kopers die voor een dubbeltje op de eerste rij denken te zitten en/of apparatuur niet beveiligen (types "ik heb niks te verbergen", "het is toch lek", "zonde van m'n tijd", "dat is voor nerds" etc.) zijn een ramp voor het internet
"we hadden niet het vermogen vooruit te denken / achteraf lullen en gunstig formuleren is makkelijker."
Mirai is een gevolg, geen oorzaak.
Hang in het vervolg niet de rechter uit.
Als je als fabrikant willens en wetens producten verkoopt zonder beveiliging. Als je als fabrikant weet of kan weten dat je daarmee criminelen gelegenheid geeft en criminelen er misbruik van maken. Als je als fabrikant geen updates beschikbaar stelt terwijl je weet dat door je toedoen misbruik bestaat en blijft bestaan. Dan is mijn conclusie dat je meewerkt aan criminele activiteiten, of die op zijn minst bewust laat bestaan.
Een dergelijke conclusie ligt niet prettig bij ieder die met minimale inspanning een maximaal rendement wil behalen. Het legt verantwoordelijkheid bij ondernemers om deugdelijke producten op de markt te zetten die niet alleen voldoen aan minimale fysieke veiligheidseisen. De wet is in westerse landen echter helder, het oogluikend toestaan van criminele activiteiten terwijl je er direct iets aan kan doen is strafbaar.
Als je als fabrikant willens en wetens producten verkoopt zonder beveiliging. Als je als fabrikant weet of kan weten dat je daarmee criminelen gelegenheid geeft en criminelen er misbruik van maken. …
Ergens moet je een grens trekken, want in jouw definitie mag de Hema ook geen keukenmessen meer verkopen omdat ze dan een criminele organisatie worden. Er zijn nml. al aanwijsbaar mensen gestorven door deze messen. Eén geval van iemand met proefverlof heeft een aantal jaar geleden zelfs groot het nieuws gehaald.
Ik zit persoonlijk niet te wachten op een oplossing in de vorm van een enorme jurudische lap tekst. Liever zie ik fabrikanten die kunnen bewijzen dat ze hun software grondig hebben laten testen op domme backdoors, geen onnodige services open zetten en gebruikers verplichten om wachtwoorden te wijzigen.
Helaas doen heel veel fabrikanten geen van dat alles.
Hmm. Nu staat iedereen tegen dit Chinese bedrijf te trappen, maar de bekendere merken kunnen er ook wat van:
http://arstechnica.com/security/2016/02/asus-lawsuit-puts-entire-industry-on-notice-over-shoddy-router-security/
https://threatpost.com/backdoored-d-link-router-should-be-trashed-researcher-says/120979/
Import verbodje voor Asus en D-Link ook maar gelijk doen? Als we namelijk goed gaan kijken dan kunnen we bijna alle merken gaan weren!
Deze posting is gelocked. Reageren is niet meer mogelijk.
Toezichthouder informatiebeveiliging Overheid
Rijksinspectie Digitale Infrastructuur (RDI)
Vind je het leuk om als toezichthouder bij te dragen aan de verdere groei in informatie-beveiliging van de overheid en in contact te staan met (belangen) organisaties binnen de overheid? Dan kun je komen bouwen aan toezicht op een veilige en betrouwbare Digitale Infrastructuur in Nederland.
Adviseur Informatiebeveiliging
Je bent een belangrijke speler om invulling te geven aan de gemeentelijke ambities op het gebied van informatiebeveiliging. Deze ambities neem jij op in het Informatie-beveiligingsbeleid Gemeente Zoetermeer. Wil je helpen bij het verbeteren van de informatiebeveiliging in Zoetermeer en het versterken van het cyberbewustzijn binnen onze organisatie? Wacht dan niet en kom ons team informatiebeveiliging versterken!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.