Twitter GodMode ist nach dem Hack von Apple und anderen Konten weiterhin für alle Ingenieure verfügbar
Twitter GodMode – ein internes Tool, das Hacker haben früher von hochkarätigen Konten, einschließlich Apple, getwittert , damals im Jahr 2020 – bleibt laut einem neuen Bericht heute für alle Ingenieure des Unternehmens verfügbar.
OPTAD-1
Twitter hatte zuvor gesagt, dass die Sicherheit Das Loch wurde behoben, aber ein Whistleblower sagte, dass das Unternehmen abgesehen von der Änderung des Namens des Tools von GodMode in PrivilegedMode nur eine Änderung vorgenommen hatte – und die es jedem Twitter-Ingenieur immer noch erlaubte, sich trivialerweise unkontrollierten Zugriff darauf zu verschaffen …
Hintergrund
Apples offizieller Twitter-Account @Apple war einer von mehreren hochkarätigen Accounts, die bereits 2020 kompromittiert wurden. Andere betroffene Accounts waren:
OPTAD-2
- Joe Biden
- Jeff Bezos
- Bill Gates
- Mike Bloomberg
- Kanye West
- Über
- Floyd Mayweather
- Cash-App
- Warren Buffett
- Barack Obama
- MrBeast
Ach ja, und noch einer: Elon Musk.
Der Hack war umso bemerkenswerter, als er möglich war, obwohl viele der Konten eine Zwei-Faktor-Authentifizierung verwendeten, was bedeutet, dass der Zugriff selbst mit dem Kontopasswort unmöglich sein sollte.
Zufällig veröffentlichten die Hacker einfach einen Bitcoin-Betrug, aber die Möglichkeit, absolut alles von solch hochkarätigen und vertrauenswürdigen Konten zu twittern, hätte weitaus schwerwiegendere Folgen haben können.
OPTAD-3
Später stellte sich heraus, dass der Hack mit einem internen Tool durchgeführt wurde, das damals als GodMode bekannt war. Diejenigen mit Zugriff auf GodMode können Tweets von buchstäblich jedem Konto posten, ohne dass eine kontospezifische Authentifizierung erforderlich ist. GodMode erlaubte auch das Löschen bestehender Tweets.
Twitter GodMode ist weiterhin für alle Ingenieure verfügbar
Twitter sagte danach, dass es das Problem untersucht und Schritte unternommen habe, um es anzugehen. Laut einem Whistleblower bestand die einzige Änderung jedoch darin, sich zurückzuziehen Ursprünglich Zugriff auf das Werkzeug. Jeder Ingenieur, der darauf zugreifen wollte, musste nur das Flag in einer Codezeile von FALSE auf TRUE ändern.
Die Washington Post berichtet, dass ein Whistleblower dies bereits im Oktober dem Kongress gemeldet hat und es nun von einem Kongressmitarbeiter mit der Zeitung geteilt wurde.
OPTAD-4
Ein neuer Twitter-Whistleblower ist aufgetaucht, der die überraschende Aussage des letzten Jahres über den düsteren Zustand des Datenschutzes des Unternehmens unterstützt und sagt, dass das Unternehmen weiterhin gegen seine gesetzlichen Verpflichtungen unter dem neuen Eigentümer Elon Musk verstößt.
Der ehemalige Mitarbeiter hat Mitgliedern des Kongresses und Mitarbeitern der Federal Trade Commission mitgeteilt, dass jeder Twitter-Ingenieur ein internes Programm namens „GodMode“ aktivieren und heute, drei Monate nach der Übernahme von Musk, von jedem Konto aus twittern kann […]
Der neue Whistleblower sagte, dass die Ingenieure nach internen Einwänden gegen das Programm seinen Namen in „privilegierter Modus“ geändert hätten. Der Whistleblower sagte, der Zweck des Programms sei es, Twitter-Mitarbeitern zu ermöglichen, im Namen von Werbetreibenden zu twittern, die dies nicht selbst tun könnten […]
Die neue Whistleblower-Beschwerde besagt, dass der GodMode-Code auf dem Laptop jedes Ingenieurs verbleibt, der ihn haben möchte. Sie müssten lediglich eine Codezeile von FALSE in TRUE ändern und sie von einer Produktionsmaschine aus ausführen, die sie über ein leicht zugängliches Kommunikationsprotokoll namens SSH erreichen könnten.
Der Whistleblower sagte, dass nicht nur jeder Ingenieur diese Änderung selbst vornehmen könne, sondern dass das Twitter-Sicherheitspersonal keine Möglichkeit habe, zu erfahren, wer es getan habe.
Der Bericht stützt Behauptungen des ehemaligen Twitter-Sicherheitschefs Peiter Zatko, dass das Unternehmen „ extreme, ungeheuerliche Mängel “ in seinem Schutz vor Hackern.
Foto: David Cantelli / Unsplash
Fügen Sie macOSxHints zu Ihrem Google News-Feed hinzu.
