Bitonic koppelt hack aan lek in PDF-bibliotheek

Bitonic koppelt de inbraak aan een kwetsbaarheid in de PDF-upload van zijn verificatiesysteem, waarna vijf accounts werden overgenomen en bij drie klanten 0,003 bitcoin werd opgenomen, meldt het bedrijf op 28 oktober.

Een documentupload kan zo de route worden naar klantaccounts en saldo. Voor bedrijven die identiteit of andere documenten met software controleren, reikt de beveiligingsgrens ook tot de bibliotheek die het bestand opent en de systeemrechten die deze software krijgt. De gemelde opnames kwamen samen uit op ongeveer 200 euro. Dat bedrag zegt niets over de reikwijdte van de kwetsbaarheid.

De aanval begon bij een klantmelding

Op zondagavond 25 oktober meldde een klant verdachte activiteit op zijn account. Bitonic zegt dat het daarop alle diensten uit voorzorg offline haalde. Nog die nacht vond het bedrijf een kwetsbaarheid in de PDF-uploadfunctie van het verificatiesysteem, verholp die en maakte de systemen schoon. De diensten waren maandagochtend om 05.00 uur weer beschikbaar.

De NOS meldde op 26 oktober dat onbevoegden een deel van de systemen bereikten, inloggegevens van twee accounts werden gewijzigd en drie klanten bitcoin verloren. Alle klanten waren toen uit voorzorg uitgelogd. De update van 28 oktober noemt vijf overgenomen accounts, terwijl de eerste berichtgeving vooral drie klanten met bitcoinopnames meldde. Die aantallen beschrijven verschillende delen van de impact.

De bibliotheek heeft nog geen naam

Bitonic zegt dat de kwetsbaarheid zat in de bibliotheek die het verificatiesysteem gebruikt om PDF-bestanden te verwerken. Het bedrijf noemt geen bibliotheeknaam, versienummer of openbaar kwetsbaarheidsnummer (CVE). Ook beschrijft de update niet welk bestand de kwetsbaarheid activeerde, of daarvoor een ingelogd account nodig was en hoe de stap van PDF-verwerking naar accountovernames precies verliep. Het onderzoek naar oorzaak en omvang loopt nog.

Die grens is relevant voor andere organisaties. Zonder product- en versienummer kan een beheerder niet controleren of dezelfde bibliotheek in een eigen upload- of verificatiestroom zit. De melding bevestigt dat het probleem is verholpen op Bitonics systemen, maar maakt niet duidelijk of de bibliotheekontwikkelaar een update heeft uitgebracht of dat andere installaties geraakt kunnen zijn. Security.nl schrijft eveneens dat verdere technische details over de kwetsbaarheid niet zijn gegeven.

Een PDF-parser is ook productcode

OWASP noemt fouten in een bestandsparser of verwerkingsmodule als aanvalsvector bij bestandsuploads. De richtlijn beveelt onder meer aan alleen noodzakelijke bestandstypen toe te staan, gebruikte bibliotheken veilig in te stellen en bij te houden, en documenten waar mogelijk apart van de applicatie te verwerken. Bij PDF-uploads wordt het bestand niet alleen opgeslagen: software moet de inhoud openen en interpreteren. Daardoor hoort ook die verwerkingslaag bij de beveiligingsgrens van een dienst.

Ook een uploadlek in Elementor Pro liet een niet-ingelogde aanvaller PHP naar een openbare map uploaden en uitvoeren. In dat geval zaten de foutieve controles in het formulier en het wegschrijven van het bestand. Dat was een andere kwetsbaarheid met een ander gevolg. Er is geen aanwijzing dat Bitonics kwetsbaarheid code-uitvoering mogelijk maakte. De overeenkomst zit in de route: een bestand dat een gebruiker aanlevert, komt terecht in software die het verwerkt en daarmee een toegangspunt vormt.

Drie klanten verloren samen circa 200 euro

Volgens Bitonics update nam de aanvaller accounts van vijf klanten over. Bij drie daarvan werd in totaal 0,003 bitcoin opgenomen, op dat moment ongeveer 200 euro. Bitonic zegt de drie klanten nog dezelfde nacht volledig te hebben vergoed en alle vijf persoonlijk te hebben geïnformeerd. Het bedrijf controleerde alle opnames en accountwijzigingen uit de betreffende periode en vond daarbij geen andere getroffen accounts.

Bitonic zegt dat identiteitsbewijzen versleuteld in een apart systeem staan waartoe de aanvaller geen toegang had. Buiten de vijf accounts zijn er volgens het bedrijf geen aanwijzingen dat persoonsgegevens zijn buitgemaakt, al kan het dat zolang het onderzoek loopt niet volledig uitsluiten. De cold wallets, waar het grootste deel van de bitcoin offline wordt bewaard, waren niet betrokken. De hot wallet, die met internet is verbonden, en de getroffen systemen gingen uit voorzorg offline; inmiddels is de dienstverlening hersteld en controleert Bitonic opnames tijdelijk strenger. Ook zijn de Autoriteit Financiële Markten en de Autoriteit Persoonsgegevens geïnformeerd. Bitonic is in contact met de politie en zegt aangifte te gaan doen.

Een groter crypto-incident laat zien dat een softwarekwetsbaarheid ook toegang kan geven tot de systemen voor online wallets. Bitget meldde in september dat een nog niet gepatchte kwetsbaarheid in een extern beveiligingsproduct leidde tot circa 388 miljoen dollar aan overboekingen uit de hot- en warmwallets van het platform; klantbalansen bleven onaangetast. De Bitget-aanval bereikte walletgerelateerde servers en leidde tot vervalste opnameopdrachten. Bij Bitonic ging het om bitcoinopnames uit accounts van klanten; Bitget zei dat het geld uit de platformwallets kwam en klantbalansen ongemoeid bleven.

Bitonics update maakt het aantal overgenomen accounts en de bitcoinopnames concreet, maar noemt alleen een kwetsbaarheid in een bibliotheek zonder die te identificeren. De dienstverlening is hersteld en het bedrijf zegt geen andere getroffen accounts te hebben gevonden. Zolang de naam, versie en exploitroute ontbreken, kunnen andere organisaties hun eigen PDF-verwerking niet met dit incident vergelijken. Die informatie maakt duidelijk of dezelfde component ook in andere verificatiestromen staat.