HIBP voegt 893.000 CastleRAT-wachtwoorden toe

Have I Been Pwned (HIBP) voegt op 13 november 893.000 unieke CastleRAT-wachtwoorden toe aan Pwned Passwords; de bijbehorende vermelding noemt 179.700 e-mailadressen en ruim drie miljoen waarnemingen op besmette computers.

Met de toevoeging kunnen organisaties bekende gelekte wachtwoorden weren wanneer iemand een account aanmaakt of het wachtwoord wijzigt. De cijfers zeggen niet hoeveel accounts aanvallers daadwerkelijk hebben geopend. Dat is een andere vraag dan hoeveel adressen en wachtwoorden in de buitgemaakte data staan.

De cijfers meten verschillende dingen

De HIBP-vermelding noemt 179.700 e-mailadressen die bij CastleRAT-infecties horen en 893.000 unieke wachtwoorden. Die wachtwoorden zijn volgens de dienst ruim drie miljoen keer aangetroffen bij accounts die op besmette computers werden gebruikt. Een e-mailadres, een uniek wachtwoord en een waarneming zijn drie verschillende eenheden. De derde telling zegt niet dat drie miljoen accounts zijn overgenomen.

De publicatie noemt geen aantal geslaagde inlogpogingen, nog actieve wachtwoorden of accounts waarop misbruik is bevestigd. Een adres in de lijst laat zien dat het in de CastleRAT-dataset voorkomt. Een wachtwoordhit zegt dat dezelfde wachtwoordwaarde in de verzameling zit, maar legt geen koppeling met een e-mailadres of met een geslaagde login. Er is geen Nederlandse uitsplitsing van de adressen of daadwerkelijke accountmisbruikgevallen. De 179.700 adressen zijn daarom geen telling van Nederlandse organisaties en de 893.000 wachtwoorden geen telling van gecompromitteerde accounts.

De data volgen op de Endgame-inbeslagname

Europol meldt dat de internationale operatie op 12 november 235 servers en 257 domeinen achter Gootloader, CastleRAT en StealC uitschakelde en ruim 6,4 miljoen slachtoffergegevens veiligstelde. Dat totaal geldt voor de hele operatie en drie malwarefamilies, niet voor de 893.000 CastleRAT-wachtwoorden. De Nederlandse politie meldt dat 120 CastleRAT-servers zijn neergehaald, zes daarvan in Nederland, en 39 domeinen in beslag zijn genomen. De politie kondigde aan dat de slachtofferdata ook naar HIBP en andere meldkanalen zouden gaan.

De bekendmaking noemde Have I Been Pwned, DIVD en andere meldkanalen als bestemming voor de slachtofferdata, zonder publicatiedatum. HIBP zet nu 13 november als toevoegingsdatum bij de CastleRAT-vermelding. De nieuwe stap is dus dat de buitgemaakte wachtwoorden na de inbeslagname ook in een controlelijst staan.

De juni-actie van Endgame richtte zich op infostealers StealC en Amadey en de vervolgschade van gestolen inloggegevens. De Nederlandse politie meldde toen meer dan 24 miljoen inloggegevens van 384.000 computersystemen en ruim 1,5 miljoen diensten en bedrijven. Dat zijn andere malwaregroepen en een andere eenheid dan de unieke CastleRAT-wachtwoorden van nu. De cijfers vormen geen voor-en-na-reeks.

De lijst werkt bij een nieuwe wachtwoordkeuze

De Pwned Passwords-dienst is gratis, open source en via een API beschikbaar. Een organisatie kan de controle opnemen in een aanmeld- of wijzigingsscherm, zodat iemand een ander wachtwoord kiest voordat het account wordt opgeslagen. De HIBP-API gebruikt daarvoor een gedeeltelijke hash: de applicatie berekent lokaal een SHA-1-hash en stuurt alleen de eerste vijf tekens naar HIBP. De dienst stuurt de overige tekens van hashes met hetzelfde begin terug; de applicatie vergelijkt die lokaal. Het volledige wachtwoord en de volledige hash verlaten de applicatie niet, al wordt de gedeeltelijke hash wel verstuurd.

HIBP waarschuwt in de API-documentatie voor controles per toetsaanslag: herhaalde verzoeken terwijl iemand typt kunnen informatie prijsgeven over het wachtwoord. De controle hoort daarom pas plaats te vinden als het veld volledig is ingevuld. De API kan ook als lokale database worden gebruikt, maar dan moet een organisatie zelf de complete dataset downloaden en actueel houden.

Een vergelijkbare ontwerpkeuze staat in NIST's Amerikaanse digitale-identiteitsstandaard: een dienst die wachtwoorden controleert moet een nieuwe keuze vergelijken met een lijst van veelgebruikte, verwachte of eerder gelekte wachtwoorden en bij een match een ander wachtwoord vragen. De standaard verlangt geen periodieke wachtwoordwissels zonder aanwijzing voor misbruik. Dat is geen Nederlandse wettelijke verplichting, maar wel een parallelle norm voor wachtwoordbeheer.

Een wachtwoordhit is geen accountmelding

Pwned Passwords controleert of een wachtwoordwaarde in bekende lekdata voorkomt. De uitkomst noemt geen e-mailadres en zegt niet of de waarde uit CastleRAT komt. Een match betekent dus dat het wachtwoord eerder is aangetroffen, niet dat een bepaald bedrijfsaccount is overgenomen.

Voor een adrescontrole biedt de politie Check je Hack. De site vraagt een e-mailadres en stuurt bij een positieve match een bericht. Bij geen match volgt geen e-mail. Dat controleert of het adres in een in beslag genomen dataset voorkomt, maar scant geen computer en bevestigt niet of een aanvaller met de gegevens heeft ingelogd.

De novemberactie laat zien hoe een inbeslagname doorwerkt nadat servers offline zijn: slachtofferdata worden verplaatst naar diensten waar gebruikers en organisaties ze kunnen controleren. Daarmee komt er een preventieve lijst bij voor nieuwe wachtwoorden, naast een aparte controle voor e-mailadressen in de dataset. Die controles beantwoorden andere vragen dan onderzoek naar daadwerkelijke toegang. Hoe vaak CastleRAT-gegevens tot een geslaagde login leidden, is niet gepubliceerd.