Kayvan Soufi-Siavash, besser bekannt als Ken Jebsen, ist sozusagen der Vater der „alternativen Fakten“ in Deutschland. Er bezeichnet sich und sein Portal gern als „Mülltrenner“, der „in einer zunehmend eindimensionalen Debattenkultur des Mainstreams die Sichtweise auf politische Ereignisse um alternative Blickwinkel“ erweitern will. In Bezug auf Fakten bedeutet der alternative Blickwinkel jedoch allzu oft einfach, dass KenFM gezielt Falschnachrichten, Fake News, unter die Leute bringt.
Zu diesen Falschnachrichten gehören während der Corona-Pandemie Verschwörungsmythen über Bill Gates, medizinische Falschinformationen über Covid19 – was ihm die Verbannung von YouTube einbrachte -, der Vergleich der Corona-Maßnahmen mit der „Machtergreifung“ und die Umdeutung des Mund-Nase-Schutz als „Gehorsamkeitsexperiment“. Damit wurde seine Plattform zu dem Informationsmedium für die Querdenken-Bewegung, für Schwurbler und Umstürzler.
Er hat mit Antisemitismus, Verschwörungsmythen und Umsturzphantasien viel Geld verdient. Journalist und damit der Wahrheit verpflichtet ist er seit langem nicht mehr. Er verarscht die Menschen einfach ganz offen.
Das Berliner Landesamt für Verfassungsschutz hat KenFM im vergangenen März als Verdachtsfall eingestuft. Im Visier von Anonymous ist er seit 2014/15, seit er als Redner bei den Mahnwachen für den Frieden auftrat.
Anonymous ist geduldig
Lange galt Ken als nicht hackbar. Zu gut passten die Admins auf, die Plugins waren immer recht aktuell. Doch ein einziger Fehler reicht oft.
Es begann mit einer Stored-XSS-Lücke. Anons hatten sie beim Scannen der Website entdeckt und wollten schauen, ob sie damit etwas anfangen können. Konnten sie nicht, aber die fanden Juicy Fruits.
Jaja, so kann es gehen. Während die Schlapphüte noch Artikelchen beobachten, wie sie es ja auch schon bei Compact so grunderfolgreich tun, hat Anonymous ein bisschen weiter geschaut – und einen SQL-Dump gefunden.
Dieser Dump – ein komplettes Datenbankbackup der KenFM-Wordpress-Installation – enthielt
- ~39.000 persönliche Daten von Abonnenten
Vornamen, Nachnamen, E-Mail, Passworte - Spenderdaten bis 2019 inklusive Summen, knapp 38K Euro über die Website (jetzt hat er ja auf Krypto umgestellt)
wir haben Namen, Beträge, Mailadressen von Spendern - viele praktische API-Schlüssel
kann man immer gebrauchen - 3GB an Dateien, Tokens und mehr,
die noch ausgewertet werden wollen.
(Wir werden interessierten Journalisten natürlich auf Nachfrage die Daten zur Verfügung stellen.)
Bei solch einem Fund allein ist schon Lulz garantiert.
Bei einem solchen Fund gepaart mit der nötigen Portion Anon-Kreativität – erhält man schon mal administrativen Zugriff, auch ohne die gesalzenen Passwort-Hashs der WP-User knacken zu müssen. Ohne auf eine CVE angewiesen zu sein. Manchmal muss man um die Ecke denken.
Anonymous erhielt Vollzugriff, administrative Rechte für die Live-Installation, Zugriff auf DB und Webspace.
KenFM MySQL-Datenbank 
KenFM Server: Dateien und Ordner 
KenFM: WordPress Dashboard mit Adminrechten
Das schrie förmlich nach Defacement – natürlich nachdem man die Daten gesichert hatte. Denn im Falle KenFM musste es ein Wipe & Fulldeface sein. Es blieb nur noch das, was Anonymous hinterließ.
Natürlich werden wir an dieser Stelle nicht detailliert beschreiben, wie man das macht. Please, don’t try this at home. Vielleicht später mal. Für den Moment reicht es, dass der „heilige“ Ken nackt und bloß dasteht.