UGNazi 4Chan durch Einbruch in Cloudflare-Server gehackt

Angreifer sind in das System von Cloudflare eingedrungen und haben Zugriffe auf das Imageboard 4Chan auf ihren eigenen Twitter-Account umgeleitet. Laut Cloudflare erfolgte der Einbruch über eine Sicherheitslücke bei Google.

Anzeige

Eine Hackergruppe namens UGNazi brüstet sich mit einem erfolgreichen Angriff auf das Imageboard 4Chan. Den Hackern gelang es, Zugriffe auf die Domain 4chan.org auf ihren eigenen Twitter-Account umzuleiten, was sie in einem Video dokumentierten.

4Chan sei eine Spielwiese für Pädophile und ermögliche ihnen, Kinderpornografie auszutauschen, begründen die Hacker ihren Angriff. Die Website werde zu lasch überwacht, so dass Kinderpornografie dort viel zu lange abrufbar sei.

4Chan sichert seine Seite über Cloudflare ab. Das Unternehmen bietet einen Cloud-basierten Proxy-Dienst für Websitebetreiber an. Darüber ausgelieferte Websites sollen beschleunigt und besonders gegen DoS-Angriffe geschützt sein, da sie über ein weltweites Netz an Servern ausgeliefert werden. Doch offenbar gelang es den Hackern, in das System von Cloudflare einzudringen und die für 4chan.org dort hinterlegen DNS-Einträge zu ändern.

Hacker nutzten Schwachstelle bei Google aus

Matthew Prince, einer der Gründer von Cloudflare, erläutert in einem Blogeintrag, wie es aus Sicht von Cloudflare zu dem Einbruch kommen konnte. Demnach verschafften sich die Hacker Zugriff auf seine private Gmail-Adresse, wobei sie eine Schwachstelle in Googles Zwei-Faktor-Autorisierung nutzten. Prince schließt aus, dass sein Passwort erraten oder anderweitig ausspioniert wurde, da es zufällig und mehr als 20 Stellen lang sei und er es nur für diesen einen Account nutze.

Laut Prince gelang es den Angreifern, Googles System davon zu überzeugen, eine zweite E-Mail-Adresse zum Zurücksetzen des Accounts zu hinterlegen. Diese wurde dann genutzt, um das Passwort zurückzusetzen.

Cloudflare nutzt Google Apps, um seine E-Mails abzuwickeln und Prince hat bei der Erstellung des Accounts seine private E-Mail-Adresse zum Zurücksetzen des Accounts hinterlegt. Da die Hacker diese aber kontrollierten, konnten sie so das Passwort für die Cloudflare-Adresse von Prince zurücksetzen. Das funktionierte, obwohl Cloudflare dazu Googles Zwei-Faktor-Authentifizierung nutzte.

Nachdem die Angreifer seine E-Mail-Adresse unter Kontrolle gebracht hatten, konnten sie damit auf das Administrationsinterface von Google Apps zugreifen. Sie lösten dann ein Zurücksetzen des Cloudflare-Passworts von 4Chan aus und da Cloudflare die entsprechenden Mails in Kopie an einen eigenen Account sendet, um Missbrauch erkennen zu können, konnten sie darüber das Passwort von 4Chan erfolgreich zurücksetzen und den Account kontrollieren.

Keine weiteren Kunden betroffen

Google hat laut Cloudflare mittlerweile einen Fehler in seiner Zwei-Faktor-Authentifizierung gefunden und behoben, der einige wenige Accounts betreffen soll. Cloudflare hat sämtliche Anfragen zum Zurücksetzen von Passwörtern sowie alle DNS-Änderungen in seinem System manuell kontrolliert. Es seien aber keine weiteren Kunden betroffen. Zudem wurden alle ausstehenden Vorgänge zum Zurücksetzen von Passwörtern deaktiviert und der Versand von Kopien entsprechender E-Mails an einen internen Cloudflare-Account abgestellt.

Cloudflare hat nach eigenen Angaben keine Anzeichen dafür, dass die Angreifer Zugriff auf die Datenbank von Cloudflare hatten.


laZee 04. Jun 2012

Jo jedoch das beste was man wohl tun kann. Da posted ja jeder anonymous.

Salzbretzel 03. Jun 2012

Demnach werden die Foren bald mit Bildern der eigenen Mitgliedern verziert sein ;-) Lass...

randomOppinion 03. Jun 2012

What the fuck is wrong with you? Wegen einem flaw macht ihr einen auf "Sicherheit!" und...

shazbot 03. Jun 2012

Wer auf Kinderseiten wie /b/ geht hat eh nix besseres verdient. Wie langweilig muss einem...

derats 02. Jun 2012

...nur um 4chan für ein paar Stunden niederzulegen? Im Ernst? Da gibt es doch viel...

Kommentieren



Anzeige

  1. Senior Softwareentwickler (m/w) Java EE
    Faktor Zehn AG, München und Köln
  2. Mitarbeiter/in im Bereich Informationstechnologie/IT Service
    Toho Tenax Europe GmbH, Heinsberg-Oberbruch und Wuppertal
  3. Entwickler (m/w) SAP WM / LES (Warehouse Management)
    PAUL HARTMANN AG, Heidenheim
  4. Entwicklungsingenieur (m/w) Systemarchitektur / Systems Engineering
    Diehl BGT Defence GmbH & Co. KG, Überlingen am Bodensee

 

Detailsuche


Folgen Sie uns
       


  1. MPAA und RIAA

    Film- und Musikindustrie nutzte Megaupload intensiv

  2. F-Secure

    David Hasselhoff spricht auf der Re:publica in Berlin

  3. "Leicht zu verdauen"

    SAP bietet Ratenkauf und kündigt vereinfachte GUI an

  4. Test The Elder Scrolls Online

    Skyrim meets Standard-MMORPG

  5. AMD-Vize Lisa Su

    Geringe Chancen für 20-Nanometer-GPUs von AMD für 2014

  6. Bärbel Höhn

    Smartphone-Hersteller zu Diebstahl-Sperre zwingen

  7. Taxi-App

    Uber will trotz Verbot in weitere deutsche Städte

  8. First-Person-Walker

    Wie viel Gameplay braucht ein Spiel?

  9. Finanzierungsrunde

    Startup Airbnb ist zehn Milliarden US-Dollar wert

  10. Spähaffäre

    Snowden erklärt seine Frage an Putin



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
IMHO - Heartbleed und die Folgen: TLS entrümpeln
IMHO - Heartbleed und die Folgen
TLS entrümpeln

Die Spezifikation der TLS-Verschlüsselung ist ein Gemischtwarenladen aus exotischen Algorithmen und nie benötigten Erweiterungen. Es ist Zeit für eine große Entrümpelungsaktion.

  1. Bleichenbacher-Angriff TLS-Probleme in Java
  2. Revocation Zurückziehen von Zertifikaten bringt wenig
  3. TLS-Bibliotheken Fehler finden mit fehlerhaften Zertifikaten

Owncloud: Dropbox-Alternative fürs Heimnetzwerk
Owncloud
Dropbox-Alternative fürs Heimnetzwerk

Kaputte Zertifikate durch Heartbleed und der NSA-Skandal: Es gibt genügend Gründe, seinen eigenen Cloud-Speicher einzurichten. Wir erklären mit Owncloud auf einem Raspberry Pi, wie das funktioniert.


Test LG L40: Android 4.4.2 macht müde Smartphones munter
Test LG L40
Android 4.4.2 macht müde Smartphones munter

Mit dem L40 präsentiert LG eines der ersten Smartphones mit der aktuellen Android-Version 4.4.2, das unter 100 Euro kostet. Dank der Optimierungen von Kitkat überrascht die Leistung des kleinen Gerätes - und es dürfte nicht nur für Einsteiger interessant sein.

  1. LG G3 5,5-Zoll-Smartphone mit 1440p-Display und Kitkat
  2. LG L35 Smartphone mit Android 4.4 für 80 Euro
  3. Programmierbare LED-Lampe LG kündigt Alternative zur Philips Hue an

    •  / 
    Zum Artikel