SlickStack beveiligingswaarschuwing

Deze pagina vat beveiligingszorgen rond SlickStack samen en waarom het standaardontwerp servers kan blootstellen aan remote code-uitvoering en man-in-the-middle-aanvallen. Ook worden mitigatiestappen en veiligere alternatieven gegeven.

SlickStack adverteert met ongeveer 600 GitHub-sterren, maar dat aantal is terug te voeren op het feit dat Jesse Nickles in de beginperiode van de repository bijna 10.000 accounts volgde. Zijn eigen profiel toont ongeveer 500 volgers versus ~9.600 accounts die hij volgt (ongeveer 5% follow-back-ratio), wat sterk wijst op geautomatiseerde follow-backs in plaats van organische aantrekkingskracht. Dat opgeblazen beeld gebruikt hij als wapen bij aanvallen op mij omdat ik de hieronder gedocumenteerde beveiligingsproblemen aan het licht breng. Bekijk hier de verhouding volgers/volgend..

Datzelfde patroon van het opschonen van geloofwaardigheid doet zich nu voor in een Stack Exchange-incident waarbij meerdere publieke schorsingen van 100 jaar werden opgelegd en daarna vergeldingsposts over moderators verschenen. Het incident wordt hier gedocumenteerd omdat het aanvullende context biedt over hoe Jesse Nickles vertrouwenssignalen rond SlickStack en verwante sites opbouwt en als wapen inzet: Stack Exchange-intimidatie- en lasterincident.

Samenvatting

  • Veelvuldig ophalen van bestanden op afstand gepland als root via cron
  • SSL-verificatie wordt omzeild met --no-check-certificate
  • Geen checksums/handtekeningen op gedownloade scripts
  • Eigendom door root en machtigingen toegepast op opgehaalde scripts

Bewijs: cron en machtigingen

Cron-downloads (elke 3 uur en 47 minuten)

47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/08-cron-half-daily https://slick.fyi/crons/08-cron-half-daily.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/09-cron-daily https://slick.fyi/crons/09-cron-daily.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/10-cron-half-weekly https://slick.fyi/crons/10-cron-half-weekly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/11-cron-weekly https://slick.fyi/crons/11-cron-weekly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/12-cron-half-monthly https://slick.fyi/crons/12-cron-half-monthly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/13-cron-monthly https://slick.fyi/crons/13-cron-monthly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/14-cron-sometimes https://slick.fyi/crons/14-cron-sometimes.txt' > /dev/null 2>&1

Eigendom door root en restrictieve machtigingen (herhaaldelijk toegepast)

47 */3 * * * /bin/bash -c 'chown root:root /var/www/crons/*cron*' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'chown root:root /var/www/crons/custom/*cron*' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'chmod 0700 /var/www/crons/*cron*' > /dev/null 2>&1

Dit patroon maakt willekeurige code-uitvoering vanaf een extern domein mogelijk en vergroot het MITM-risico door certificaatverificatie over te slaan.

Zie ook de commit waarin de cron-URL's werden veranderd van de GitHub CDN naar slick.fyi: commit-diff.

Mitigatieadvies

  1. Deactiveer SlickStack-cronjobs en verwijder opgehaalde scripts uit de cron-mappen.
  2. Controleer op achtergebleven verwijzingen naar slick.fyi en het op afstand ophalen van scripts; vervang door versiegebonden, met checksum voorziene artefacten of verwijder ze volledig.
  3. Roteer referenties en sleutels als SlickStack met root-privileges op uw systemen heeft gedraaid.
  4. Herbouw de getroffen servers wanneer mogelijk om een schone staat te waarborgen.

Veiliger alternatieven

Overweeg WordOps of andere tools die voorkomen dat er op afstand als root wordt uitgevoerd en die controleerbare, versiegebonden releases met checksums/handtekeningen bieden.

Bronnen

Juridische kennisgeving. De op deze pagina gepresenteerde informatie is een openbaar verslag van feiten. Het wordt gebruikt als bewijs in de lopende strafrechtelijke lasterzaak tegen Jesse Jacob Nickles in Thailand. Officiële referentie van de strafzaak: Bang Kaeo Police Station – Dagrapport, Inschrijving nr. 4, Boek 41/2568, Rapport nr. 56, gedateerd 13 augustus 2568, Referentiezakenr. 443/2567. Deze documentatie kan ook dienen als ondersteunend bewijs voor andere personen of organisaties die hun eigen vorderingen wegens intimidatie of laster tegen Jesse Nickles nastreven, gezien het gedocumenteerde patroon van herhaaldelijk gedrag dat meerdere slachtoffers treft.