Hack

Foxconn servers gehacked en consumenten organisaties kondigen demonstraties aan tegen Apple

De hackers van SwaggSec hebben vanmorgen vroeg informatie vrijgegeven die afkomstig is van de servers van Foxconn, het bedrijf waar Apple iPhones, iPads en MacBooks laat produceren. Foxconn ligt al jaren onder vuur omdat de werkomstandigheden in de fabriek slecht zijn. Apple zet alles op alles om dat te verbeteren maar er gaat nog steeds veel mis bij het bedrijf. Eerder deze week liet CNN een interview zien met een medewerkster van de fabriek die niet blij was en dat heeft een grote impact gehad in de Verenigde Staten. In ieder geval inspiratie voor hackers om de servers van Foxconn leeg te halen en de inhoud te uploaden als een BitTorrent download. Eerder deze maand publiceerde de New York Times ook een artikel over de werkomstandigheden in de Foxconn fabrieken waaruit blijkt dat Apple veel te weinig doet om de werkomstandigheden te verbeteren.

Update: de hackers hebben inmiddels laten weten dat ze de servers van Foxconn hebben gehacked omdat het mogelijk was. Ze hebben het niet gedaan vanwege de slechte werkomstandigheden in de Foxconn fabrieken.

In de gegevens staat niet alleen de inlogcode van Apple met user ID: Apple en wachtwoord: Foxconn2 maar ook de inlog code van CEO Terry Gou van Foxconn ligt op straat. De man die zijn medewerkers onlangs nog vergeleek met beesten. Inmiddels is het lek gedicht.

Naast Foxconn heeft ook Apple vandaag een probleem want SumOfUs en Change.org hebben de oorlog verklaard aan Apple vanwege de slechte omstandigheden van de Chinese fabrieksarbeiders die Apple inhuurt via o.a. Foxconn. Vandaag zal er een grote demonstratie plaatsvinden in Apple’s Grand Central Store. Niet alleen Apple maakt gebruik van de Chinese fabrieken maar ook andere multinationals. Vanwege de grote populariteit van Apple is het bedrijf een handige springplank om de misstanden bekend te maken.

De twee consumenten organisaties bieden vandaag tenminste 35,000 handtekeningen aan die ze binnen 24 uur hebben weten te verzamelen via een online petitie met de titel: Stop Worker Abuse.”

Dear Apple. You know what’s awesome? Listening to NPR podcasts through an Apple Airport, playing through a Mac laptop, while puttering about the kitchen. Do you know the fastest way to replace awesome with a terrible knot in your stomach? Learning that your beloved Apple products are made in factories where conditions are so bad, it’s not uncommon for workers to permanently lose the use of their hands.

Here’s the thing: you’re Apple. You’re supposed to think different. I want to continue to use and love the products you make, because they’re changing the world, and have already changed my life. But I also want to know that when I buy products from you, it’s not at the cost of horrible human suffering.

Naast het aanbieden van de petitie is er vandaag ook een grote demonstratie bij Apple’s nieuwe Grand Central Terminal retail store in New York die ongetwijfeld weer voor veel media exposure zal zorgen. Apple kan er vooralsnog weinig aan doen en de Republikeinen lieten onlangs ook weten dat ze geen Chinese toestanden meer willen en dat Apple fabrieken in de VS moet gaat bouwen. Kansloos maar het toont wel aan hoe erg Foxconn, Apple inmiddels heeft weten te beschadigen.

Safari browser na versie 5.0.4 update alsnog binnen 5 seconden te hacken

Gisteren gaf Apple een update vrij voor de Safari browser voor Mac en Windows met een aanzienlijke lijst met veiligheids updates. Die updates waren niet genoeg want Vupen, een Frans beveiligingsbedrijf wist binnen 5 seconden de vers geüpdate Safari 5.0.4 browser op de jaarlijkse Pwn2Own hackwedstrijd te hacken:

“We pwned Apple Safari on Mac OS X (x64) at pwn2own in 5 seconds”

Volgens Vupen heeft Apple gisteren met de Safari 5.0.4 update zo’n 62 lekken gedicht maar er zitten volgens het bedrijf nog wel een paar gaatjes in de browser. Naast Safari moest ook Microsoft’s Internet Explorer 8 het vrij snel ontgelden.

Charlie Miller met de bijnaam Safari Charlie wist de voorgaande drie  jaar de Safari browser als eerste te hacken op de Pwn2Own hackwedstrijd. Deelnemers zijn verplicht om de gebruikte exploit aan de organisatie van de hackwedstrijd af te staan zodat de gegevens bij de leveranciers van de browsers terecht komt en niet beschikbaar is voor het grote publiek. Na de release van een patch mogen de “onderzoekers” de exploit publiceren.

Bron: 9 to 5 Mac

Hackers kunnen gratis bellen met een iPhone en gesprekken onderscheppen

Onderzoeker Ralf-Philipp Weinmann van de Universiteit van Luxemburg heeft tijdens een beveiligingsconferentie laten zien via zijn “All Your Basebands Are Belong To Us” onderzoek dat je met hardware van 1000 euro eenvoudig meedere iPhones kan kraken. Via het Ettus USRPv1 basisstation kunnen iPhone gesprekken die in het bereik zijn van het basisstation binnen enkele seconden worden overgenomen en het is ook mogelijk om gratis te bellen naar bijvoorbeeld betaalnummers.

De hack was mogelijk door lekken in de basebandsoftware van de iPhone. De informatie is nu pas bekend gemaakt omdat Apple en andere smartphone fabrikanten eerst de tijd hebben gekregen om het lek te dichten. Apple heeft het lek gerepareerd in iOS 4.2.1 dus mocht je nog niet gebruik maken van de laatste firmware dan is dit een goede reden om het alsnog te doen. De iPhone gebruikt een basebandprocessor van Infineon.

Bron: Tweakers

Beveiligingslek in Apple Safari browser

In de Safari browser van Apple is een beveiligingslek ontdekt dat door kwaadwillenden kan worden misbruikt om persoonlijke gegevens te achterhalen. De Safari browser heeft een handige optie waarmee je web formulieren automatisch kan laten invullen met gegevens uit je adresboek en de optie die de gebruikersnamen en wachtwoorden automatisch voor je invult. Dat is handig maar je kan dat op dit moment beter even uitvinken. Hackers kunnen door deze optie namelijk ook eenvoudig je persoonlijke gegevens achterhalen inclusief je naam en e-mail adres.

Als je klikt op Safari, Voorkeuren en vervolgens de optie Formulieren kist zie je de onderstaande opties:

Jeremiah Grossma een expert in beveiliging heeft dit ontdekt. In zowel Safari 4 als 5 staan deze opties standaard aangevinkt. Hackers kunnen eenvoudig gebruik maken van de “AutoFill web forms” optie door via een JavaScriptje persoonlijke gegevens uit het adresboek van een Mac gebruiker downloaden. Het duurt slechts enkele seconden om de gegevens te downloaden en de informatie kan worden misbruikt voor e-mail spam of een phishing aanval. Persoonlijke gegevens die starten met getallen zoals een telefoonnummer kunnen niet worden gedownload omdat de hack alleen werkt als het eerste karakter een letter (A-Z) is uit het alfabet.

Grossman heeft het lek op 17 juni aan Apple gemeld maar nog geen reactie ontvangen uit Cupertino. Daarom maakt hij het lek nu openbaar zodat Mac gebruikers de functie kunnen uitschakelen.

Bron: AppleInsider

Lek in Safari browser iPhone geeft toegang tot SMS-database

Tijdens de jaarlijkse Pwn2Own hack wedstrijd hebben Vincenzo Iozzo en Ralf Weinmann via een lek in de mobiele Safari browser van de iPhone toegang gekregen tot de SMS-database. Door een fout in de Safari browser is het mogelijk om via een exploit de SMS gegevens van een iPhone door te sturen naar een webserver.

Het is de eerste keer dat een iPhone volledig gehacked is sinds de release van de tweede generatie iPhone in 2008 volgens Charlie Miller, die zelf dit keer geen iPhone hack heeft toegepast maar voor de verandering een Macbook Pro  met Safari 4 kraakte via Mac OS X Snow Leopard.

Tijdens de Pwn2Own wedstrijd worden niet alleen Apple producten gekraakt maar ook Internet Explorer 8 en  de Firefox browser moesten het ontgelden. De iPhone hack kreeg dit jaar veel aandacht omdat het vorig jaar niet gelukt was om de iPhone te hacken op de Pwn2Own contest.

Later deze week gaan de hackers Google’s Chrome browser, de  BlackBerry, de Nexus One en de Nokia E72 proberen te hacken. Deelnemers aan de Pwn2Own wedstrijd stellen de broncode van de hacks beschikbaar aan de organisatie.

Bron: MacWorld

Onderzoekers waarschuwen voor onbeveiligde WiFi hotspots

Een team van onderzoekers heeft eenvoudig persoonlijke informatie weten te achterhalen van een Nokia N95, Windows HTC, Android G1 en een iPhone 3GS. Ze maakten gebruik van een “man-in-the-middle” exploit in een onbeveiligd WiFi netwerk. Op die manier wisten ze persoonlijke gegevens te onderscheppen tussen de mobiele telefoons en een WiFi toegangspunt.

Via een hacker’s toolkit wisten de onderzoekers toegang te krijgen tot email gebruikersnamen en wachtwoorden door de SSL encryptie van de smartphones te kraken. Het kraken van de iPhone 3GS gebeurde via een SSL bypass hack. Op die manier kregen ze toegang tot login gegevens van de Safari browser en de email gebruikersnamen en wachtwoorden.

De onderzoekers waarschuwen voor het gebruik van publiek toegankelijke WiFi hotspots. Persoonlijke informatie is eenvoudig te achterhalen. Ze raden aan om alleen beveiligde WiFi netwerken te gebruiken. Het volledige rapport van het onderzoek is hier te downloaden.

Picture 4

Bron: 9to5Mac.com

Hacker neemt Nederlandse iPhones over

Verschillende mensen met een iPhone plus jailbreak ontvingen onlangs een bericht op hun iPhone dat hun iPhone niet veilig was. Een 17-jarige Hilversumse hacker heeft via ssh tientallen gejailbreakte iPhones gekraakt. De telefoons raakten hierdoor onbruikbaar. Tegen betaling zou de Hilversumse hacker de iPhones weer vrij geven.

De Hilversummer heeft toegang gekregen tot de iPhones via ssh en het standaard rootwachtwoord (Gebruikersnaam “root” en wachtwoord  ”alpine”) van de iPhone. Als je een jailbreak toepast en ssh geinstalleerd hebt is het bij iPhones met een jailbreak eenvoudig om via het ip-adres van de telefoon toegang te krijgen tot het systeem. Via bekende ip-ranges van T-Mobile heeft de hacker toegang gekregen tot tientallen iPhones.

De 17-jarige hacker, opereerde onder de naam PureInfinity92, zegt met zijn actie een waarschuwing te willen afgeven. “Als ik toegang kan krijgen, kunnen anderen dat ook.” De hacker kon bij alle bestanden, mails, contactpersonen en andere privé-gegevens van iPhone-bezitters. Hij heeft daar naar eigen zeggen niets mee gedaan. “Ik heb alleen die melding geplaatst op iPhones die ik overgenomen heb.”

Slachtoffers van de aanval kregen de melding dat ze een website moesten bezoeken voor meer informatie. Op die website werd gemeld dat tegen betaling de toegang tot de iPhone weer vrij gegeven zou worden. PureInfinity92 heeft inmiddels laten weten dat betaling niet nodig is. Via door de hacker vrijgegeven instructies kan de hack ongedaan worden gemaakt.

De iPhoneclub heeft een goede beschrijving gemaakt voor iPhone eigenaren met een jailbreak die SSH geïnstalleerd hebben. Als je een iPhone hebt met een jailbreak maar geen SSH toepassing hebt geïnstalleerd dan is er niets aan de hand.

hack

Bron: Tweakers.net

Elke iPhone ter wereld is vanaf vandaag eenvoudig te hacken

Charlie Miller, hacker by nature en beter bekend als Safari Charlie en Collin Mulliner hebben begin deze maand een ernstig veiligheidslek in de iPhone firmware gevonden. Door het versturen van een SMS bericht met een speciale code kan de iPhone van de ontvanger van het bericht crashen. Door die crash kan een hacker root access krijgen tot de de iPhone. Op die manier zijn alle gegevens te benaderen die op een iPhone staan. Niet alleen bestanden maar een hacker kan ook gratis bellen via je iPhone, Mail versuren of je contacten in je iPhone adresboek gebruiken voor een DDos aanval of voor een botnet gebruiken. Het is ook mogelijk om spyware te installeren op de iPhone en op die manier bijvoorbeeld de iPhone tracken via GPS of de eigenaar van de iPhone af te luisteren.

Miller heeft het lek een maand geleden aan Apple bekend gemaakt zodat ze via een update het lek konden “dichten” in de iPhone firmware. Tot op heden is daar niets aan gedaan. Miller heeft tegen Forbes gezegd dat hij lang genoeg heeft gewacht op de patch van Apple en dat hij de hack vandaag bekend gaat maken op de Black hat cybersecurity conferentie in Las Vegas. Volgens Miller is de hack vrij ernstig en het enige wat je er tegen kan doen is je iPhone uitzetten. Volgens Miller zou na bekendmaking van zijn hack elke iPhone ter wereld te hacken zijn. Hij voegt er aan toe dat hij Apple ruimschoots de tijd heeft gegeven om het lek te dichten. Niet alleen de iPhone is vatbaar voor de SMS hack, Miller heeft afgelopen maandag hetzelfde lek ook gevonden in Windows Mobile maar hij heeft nog geen tijd gehad om Microsoft in te lichten.

Of Apple vandaag met een patch komt is onduidelijk en tot die tijd maar hopen dat je geen SMS krijgt van een hacker die de hack van Miller heeft gekregen. Later vandaag ongetwijfeld meer over de SMS hack van Miller.

Bron: Forbes

bhat

Safari Charlie heeft lek ontdekt in iPhone firmware

Charlie Miller, hacker by nature en beter bekend als Safari Charlie heeft een veiligheidslek in de iPhone firmware gevonden. Door het versturen van een SMS bericht met speciale code kan de iPhone van de ontvanger van het bericht crashen. Door die crash kunnen hackers root access krijgen tot de de iPhone. In gewoon Nederlands volledige toegang tot de gegevens in je iPhone. De hacker kan spyware installeren op de iPhone en op die manier de iPhone tracken via GPS, de eigenaar van de iPhone afluisteren maar de iPhone kan ook gebruikt worden voor een DDos aanval of een botnet.  Miller heeft het lek aan Apple bekend gemaakt en de werking van de hack. Apple werkt aan een update om het lek tegen te gaan.

Miller gaat het gevonden lek demonstreren op de BlackHat conferentie in Las Vegas eind deze maand dus Apple moet voor die tijd met een update komen. Volgens  Miller is het iPhone besturingssysteem wel nog steeds veiliger dan het gewone OS X besturingssysteem voor Mac computers.

sc

Bron: Syscan.org