Experts denken dat criminelen gestolen LastPass-kluizen hebben gekraakt

[Captain Kirk]

Criminelen hebben bij LastPass gestolen wachtwoordkluizen gekraakt en vervolgens voor miljoenen aan crypto gestolen, zo denken beveiligingsonderzoekers op basis van onderzoek. Vorig jaar wisten aanvallers op systemen van LastPass in te breken en gingen er vervolgens met de kluisdata van klanten vandoor. LastPass biedt een wachtwoordmanager die in de cloud draait. De aanval was mogelijk doordat een DevOps-engineer op zijn thuiscomputer een oude versie van Plex draaide waarin een drie jaar oude kwetsbaarheid zat.

Taylor Monahan, oprichter en ceo van cryptowallet MetaMask, deed het afgelopen jaar onderzoek naar mensen die het slachtoffer van cryptodfiefstal waren geworden en stond deze slachtoffers ook bij. Meer dan honderdvijftig mensen werden voor meer dan 35 miljoen dollar aan crypto bestolen. Het gaat daarbij om ervaren crypto-investeerders en 'security-minded' individuen, aldus Monahan tegenover it-journalist Brian Krebs.

De aanvallers wisten met seeds/keys van de slachtoffers het geld te stelen. Volgens Monahan werden in de meeste gevallen deze gegevens uit LastPass-wachtwoordkluizen gestolen. LastPass kwam eind vorig jaar onder vuur te liggen van beveiligingsonderzoeker en Adblock Plus-ontwikkelaar Wladimir Palant. Sinds 2018 verplicht LastPass een wachtwoord van minimaal twaalf karakters om toegang tot de wachtwoordmanager in de cloud te krijgen. Voor al bestaande gebruikers met een korter wachtwoord werd dit echter niet verplicht gesteld.

Daarnaast zou het aantal iteraties bij bestaande klanten, dat tegen bruteforce-aanvallen bescherming moet beiden, niet naar hogere aantallen zijn aangepast. Sinds 2013 past LastPass standaard vijfduizend iteraties toe. Dat werd in 2018 verhoogd naar 100.100 en recentelijk naar 600.000. Bij sommige, al bestaande klanten staat het nog steeds op vijfduizend, aldus Palant.

Monahan erkent dat ze met haar onderzoek niet honderd procent kan bewijzen dat de datadiefstal bij LastPass tot de gestolen crypto heeft geleid. Dat geldt ook voor onderzoeker Nick Bax, die tot een zelfde conclusie komt. LastPass wil niet op de bevindingen reageren, omdat de zaak onder de rechter is en het onderzoek van opsporingsdiensten nog steeds gaande is.

 

bron: https://www.security.nl