[Minecraft SC #70] Kusjekroel

UPDATE: 8.41am BST: Mojang have pulled down the session server. This should stop the issue while a proper fix is being worked on!

UPDATE: 8.52am BST: mojang blog post

Hi all. Over the past few days, numerous people have reported notch logging in to their servers. From the dialogue and IP, it was pretty obvious it wasn't really notch.

Then today on the reddit servers, we had someone log in on the account of one of our head admins. The resulting griefing was quickly caught, the account password changed, and we waited to see if further attacks would follow. After a short period, the same account was used again. The admin, forty_two, confirmed that he hasn't logged into any unknown servers lately, ruling out a MITM attack. The short time between changing the password and logging in ruled out a brute force attack on the account.

We took the servers down and began investigating. I made a post to /r/admincraft with the thought of cross-comparing plugin lists to find one with a back door. We decompiled and pulled PEX and NoCheatPlus apart, and found no back doors.

To eliminate the chance of it being a plugin bug/backdoor, we put a honeypot server up on c.nerd.nu with a minecraft protocol proxy attached, to record how they were triggering it. Within an hour, the hackers were back and connected to the (now whitelisted) c.nerd.nu server, again as forty_two. Here's the relevant portion of the log:

[20:01:28] >>> 0x02: Handshake {'username_host': u'forty_two;c.nerd.nu:25565'}
[20:01:28] <<< 0x02: Handshake {'connection_hash': u'xxx'}
[20:01:29] >>> 0x01: Login request {'username': u'forty_two', 'not_used_6': 0, 'not_used_4': 0, 'not_used_5': 0, 'not_used_2': 0, 'not_used_3': 0, 'not_used_1': u'', 'protocol_version': 29}
[20:01:29] <<< 0x01: Login request {'entity_id': 1172, 'world_height': 0, 'not_used_2': 0, 'not_used_1': u'', 'game_mode': 1, 'max_players': 60, 'level_type': u'default', 'dimension': 0}

We also patched bukkit to print information about the authentication step:

[INFO] LoginPacketName forty_two; ServerID xxx; Request URL http://session.minecraft.(...)rty_two&serverId=xxx
[INFO] Response is YES
[INFO] forty_two [/xxx:54685] logged in with entity id 381 at ([world] 3.399717322546743, 64.0, 10.73634280242685)

What's striking here is that there's nothing unusual. If it had been a bukkit plugin backdoor, we'd see some kind of communication with the plugin to tell it to skip the user auth. If it had been some kind of protocol/string packing exploit in minecraft server, again we'd see it in the packets. Nor is a minecraft session server error being triggered. The only explanation is that someone has found an exploit in the minecraft login server. It affects vanilla servers and bukkit servers equally.

After some sleuthing, we determined and confirmed that the exploit only affects accounts which have been migrated to a Mojang account. If you log into minecraft with your email address, youre vulnerable.

A few hours ago we spoke to Dinnerbone, who got in contact with Grum and EvilSeph, and confirmed the exploit existed. We held off posting, hoping it would be fixed before the griefing community at large finds out about it. Information on how to use this exploit has now been made public, and as such we feel duty bound to advise that all server admins should do as we did and either take your servers offline or install a secondary authentication plugin. - fix now being worked on by mojang, this advice no longer applies.

A more detailed post to /r/mcpublic will follow.

TL;DR: hackers can log in as any migrated user! take your server down or use secondary authentication! see updates up top - taking your server down is no longer necessary.

bobbernaut	zaterdag 14 juli 2012 @ 21:46
	Het Minecraft slowchat topic waar we discussieren over vrouwen, politiek, voetbal, games, muziek, films, dat bob gebanned is, de pc van AlDieWillenteKaaprenVaren, de mening van Ame_thyst op alles, de gevaarlijke levensstijl van drumstickNL, praktische voorbeelden waarin mender censuur aanmoedigt, maurisioo's commentaar op de OP, de illuminatie, de gezondheid verbeteren eigenschappen van MineraalWater,Bobber die elk topic kaapt, Loon die de server sloopt, wat er in de OP moet staan, frikandellen, Victoria Justice aanbidden en poepbroeders De echte reeks vind je hier: Topicreeks: Minecraft SPOILER: Minecraft SC Servers! Servers: Huibsters Tekkit: 178.33.229.220:25593 (Tekkit hier te downloaden: http://www.technicpack.net/tekkit/) Mender's skygrid: 176.31.229.181:25668 Tom's Brixton (o.a.): 176.31.230.136:25599 Shaderon's Wixcraft: 62.45.186.247 Topic Chick Topicventjes/vrouwtjes: Veel plezier _{______________________________________________________ User plaatjes door Plex} [ Bericht 2% gewijzigd door bobbernaut op 14-07-2012 22:02:26 ]
bobbernaut	zaterdag 14 juli 2012 @ 21:46
	Sorry zit op mobiel, zoek een TC en zet in code tag
Lorrelies	zaterdag 14 juli 2012 @ 21:47
	Kusjekroel van mij hoor
bobbernaut	zaterdag 14 juli 2012 @ 21:48
	OP verhaal geupdate, hier mijn epic plaatje
Lorrelies	zaterdag 14 juli 2012 @ 21:50
	Die smileys
bobbernaut	zaterdag 14 juli 2012 @ 21:51

MineraalWater	zaterdag 14 juli 2012 @ 21:56
	En plex zet je niet in het bericht he.
bobbernaut	zaterdag 14 juli 2012 @ 21:58
	quote: Op zaterdag 14 juli 2012 21:56 schreef MineraalWater het volgende: En plex zet je niet in het bericht he. Wel, ik bedoel jou met victoria aanbidden jwz
bobbernaut	zaterdag 14 juli 2012 @ 22:01
	Test SPOILER
Lorrelies	zaterdag 14 juli 2012 @ 22:03
	Mhaw...
-Datdus-	zaterdag 14 juli 2012 @ 22:09
	quote: Op zaterdag 14 juli 2012 21:41 schreef Lorrelies het volgende: [..] Ja nu heb je vast spijt van "Mammaaaa ik wil een puppyyyy" SPOILER Wat voor ras is 't? Ja idd. Een Rottweiler... Hij pakt altijd stront op en dan smeert hij het over iedereen heen kut beest.
Lorrelies	zaterdag 14 juli 2012 @ 22:13
	Oh, dat is minder ja
bobbernaut	zaterdag 14 juli 2012 @ 22:14
	quote: Op zaterdag 14 juli 2012 22:09 schreef -Datdus- het volgende: [..] Ja idd. Een Rottweiler... Hij pakt altijd stront op en dan smeert hij het over iedereen heen kut beest. HAHAHAHAHAHAHA
Lorrelies	zaterdag 14 juli 2012 @ 22:54
	Rustig hier ineens Allemaal druk aan het gamen?
Topiek	zaterdag 14 juli 2012 @ 22:56
	Ja, ik was Skyrim aan het doen. Snap er niets van
Lorrelies	zaterdag 14 juli 2012 @ 22:58
	Loool. Hoe is je nieuwe pc btw?
MineraalWater	zaterdag 14 juli 2012 @ 22:59
	Sommigen mensen hebben een leven naast FOK!
Topiek	zaterdag 14 juli 2012 @ 22:59
	quote: Op zaterdag 14 juli 2012 22:58 schreef Lorrelies het volgende: Loool. Hoe is je nieuwe pc btw? Ja nice Door Mender wel een beetje
Lorrelies	zaterdag 14 juli 2012 @ 23:00
	quote: Op zaterdag 14 juli 2012 22:59 schreef MineraalWater het volgende: Sommigen mensen hebben een leven naast FOK! Dat is fijn om te weten quote: Op zaterdag 14 juli 2012 22:59 schreef Topiek het volgende: [..] Ja nice Door Mender wel een beetje Ja waarom door Mender eigenlijk?
Topiek	zaterdag 14 juli 2012 @ 23:04
	quote: Op zaterdag 14 juli 2012 23:00 schreef Lorrelies het volgende: [..] Dat is fijn om te weten [..] Ja waarom door Mender eigenlijk? Mijn beeldscherm deed het niet goed, ik dacht, eitje, HDMI.. maar dat werkt pas als je in windows geweest bent. Dus ik dacht, videokaart kapot ofzo. TOen zei mender moet je even een verloopje kopen en nu werkt het