Tausende Zugangsdaten zu vBulletin entwendet

Eine Hackergruppe ist in einen Systemserver der bekannten und verbreiteten Forumssoftware vBulletin eingedrungen. Es wurden tausende Passwörter für das interne Forum gestohlen, die vBulletin umgehend zurückgesetzt hat.

Zuletzt waren schon mehrere Foren gehackt worden, die auf vBulletin basieren – unter anderem das von MacRumors, wo 860.000 Kontodaten gestohlen wurden, und das offizielle Ubuntu-Forum mit 1,8 Millionen Nutzerdaten.

Die Hackergruppe Inj3ct0r behauptet jetzt auf ihrer Facebook-Seite, sowohl für den Vorfall bei MacRumors wie den bei vBulletin verantwortlich zu sein. Sie schreibt unter anderem: „Wir haben eine Schwachstelle in vBulletin 4.x.x und 5.x.x gefunden“.

Inj3ct0r bietet auf einer Website gegen Bezahlung einen Patch für die Lücke an. Die Hacker schreiben etwas mysteriös (oder fehlerhaft): „Wir wollten belegen, dass nichts auf dieser Welt nicht sicher ist.“

vBulletin gehört der Firma Internet Brands. Sie schreibt jetzt in ihrem Forum: „Kürzlich hat unser Sicherheitsteam raffinierte Angriffe in unserem Netz gefunden, darunter illegalen Zugriff auf Userdaten, möglicherweise einschließlich Passwörtern. Unsere Nachforschungen weisen darauf hin, dass die Angreifer Nutzernamen und verschlüsselte Passwörter auf unseren Systemen abgerufen haben. Vorbeugend haben wir alle Passwörter zurückgesetzt. Wir entschuldigen uns für alle dadurch entstehenden Unannehmlichkeiten, hatten aber das Gefühl, diese Maßnahme sei zum Schutz der Nutzer erforderlich.“

Sicherheitsforscher kritisieren vBulletin schon länger. So wies Brian Krebs im August darauf hin, dass Tausende vBulletin-Sites gehackt worden seien, weil ihre Betreiber einen wichtigen Hinweis übersehen hatten. Darin war von einer kritischen Sicherheitslücke die Rede, die nur durch Löschen des Verzeichnisses „install“ beseitigt werden konnte, was viele betroffene Webmaster versäumten. 2011 waren zudem die Foren der Spielefirma Valve Software gehackt worden, weil der Betreiber die Software nicht rechtzeitig aktualisiert hatte.

[mit Material von Peter Judge, TechWeekEurope.co.uk]

Tipp: Wie gut kennen Sie sich mit Open-Source aus? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.