Provider meldt phising en account is geblokkeerd

[barry.nauta@gmail.com]

Hallo allemaal,

Onlangs heeft mijn provider mijn account geblokkeerd omdat er phishing
abuse vanaf mijn account is geconstateerd. Als dit het geval is lijkt
me dat een volledig legitieme regel.

Nu wil ik graag een aantal zaken weten:

- Phising moet eerst gerapporteerd worden lijkt me? Of kunnen ze zelf
programmas hebben die dit detecteren?
De reden waarvoor ik dit vraag is dat mijn account op non-actief staat
en nadat ik ze gedurende bijna 6 uur heb geprobeerd te bereiken melden
ze dat ze dit probleem onderzoeken. Conclusie: site is op non-actief
gezet zonder dat ze de phishing oorzaak kennen.
Of ben ik nu mis?

- Phishing kan gedaan worden via een bestaand programma dat gehackt
wordt, nieuwe paginas op de site, of via email? Wat is de meest voor de
hand liggend? Ik heb de volgende php scripts geinstalleerd:
- brim (brim-project)
- phpgedview
- phpbb
Geen van deze programmas kent security issues (ik volg dit ook via
subscriptions op) dus zijn er nieuwe paginas geinstalleerd (mijn
account is gehackt) of wordt er misbruik gemaakt van mijn mailserver
(wederom account gehackt).
Mis ik hier iets?

Zou het kunnen zijn dat de provider mis is?

Excuses als dit niet in de juist groep is, maar ik vond zo snel niet
een betere....

Barry

[Eric Luyten]

barry.nauta@gmail.com wrote:

> - Phishing kan gedaan worden via een bestaand programma dat gehackt
> wordt, nieuwe paginas op de site, of via email? Wat is de meest voor de
> hand liggend? Ik heb de volgende php scripts geinstalleerd:
> - brim (brim-project)
> - phpgedview
> - phpbb
> Geen van deze programmas kent security issues (ik volg dit ook via
> subscriptions op) dus zijn er nieuwe paginas geinstalleerd (mijn
> account is gehackt) of wordt er misbruik gemaakt van mijn mailserver
> (wederom account gehackt).
> Mis ik hier iets?


Welke versie van phpBB draai je ?

(Hint : een Google-zoekopdracht op "phpbb exploit" geeft 1.730.000 hits)


Eric.

[barry.nauta@gmail.com]

> Welke versie van phpBB draai je ?

2.0.21 als ik me niet vergis (de laatste stable), maar het kan ook
2.0.20 zijn.

> (Hint : een Google-zoekopdracht op "phpbb exploit" geeft 1.730.000 hits)

Ja... maar dit zijn toch wel allemaal oude paginas.... Heb zo snel
niets kunnen vinden voor de huidge of voorlaatste versie...

Heb trouwens nog steeds geen nieuws van mijn provider. Ze zijn het
onderzoeken? Ik ben benieuwd hoeveel tijd ze nodig hebben.....

[Jan Reilink]

barry.nauta@gmail.com wrote:

[..]
> - Phishing kan gedaan worden via een bestaand programma dat gehackt
> wordt, nieuwe paginas op de site, of via email? Wat is de meest voor de
> hand liggend?
>

Het meest voor de hand liggend is een Email Injection (1) aanval op een
eenvoudig (PHP) e-mail formulier. Ook XSS (Cross Site Scirpting, 2)
wordt erg veel gebruikt.

(1) http://securephp.damonkohler.com/index.php/Email_Injection
(2) http://www.cgisecurity.com/articles/xss-faq.shtml

--
Met vriendelijke groet / Best regards,
Jan Reilink, VEVIDA Nederland BV

Postbus 329, 9700 AH GRONINGEN, +31(0)50 - 5492234

[bernard]

barry.nauta@gmail.com wrote:
> Hallo allemaal,
>
> Onlangs heeft mijn provider mijn account geblokkeerd omdat er phishing
> abuse vanaf mijn account is geconstateerd. Als dit het geval is lijkt
> me dat een volledig legitieme regel.
>
> Nu wil ik graag een aantal zaken weten:
>
> - Phising moet eerst gerapporteerd worden lijkt me? Of kunnen ze zelf
> programmas hebben die dit detecteren?
> De reden waarvoor ik dit vraag is dat mijn account op non-actief staat
> en nadat ik ze gedurende bijna 6 uur heb geprobeerd te bereiken melden
> ze dat ze dit probleem onderzoeken. Conclusie: site is op non-actief
> gezet zonder dat ze de phishing oorzaak kennen.
> Of ben ik nu mis?
>
> - Phishing kan gedaan worden via een bestaand programma dat gehackt
> wordt, nieuwe paginas op de site, of via email? Wat is de meest voor de
> hand liggend? Ik heb de volgende php scripts geinstalleerd:
> - brim (brim-project)
> - phpgedview
> - phpbb
> Geen van deze programmas kent security issues (ik volg dit ook via
> subscriptions op) dus zijn er nieuwe paginas geinstalleerd (mijn
> account is gehackt) of wordt er misbruik gemaakt van mijn mailserver
> (wederom account gehackt).
> Mis ik hier iets?
>
> Zou het kunnen zijn dat de provider mis is?
>
> Excuses als dit niet in de juist groep is, maar ik vond zo snel niet
> een betere....

Als het een phishing site is, dan is de provider meestal gewaarschuwd
door een van de organisaties (bvb, de bank in kwestie). Wekelijks
krijgen we er ook enkele binnen (en sluiten we de accounts ook af).

Het kan zijn dat je provider mis is, maar de kans is klein. Wij gaan
echter altijd de abuse melding forwarden naar onze klant.

Het is meestal te wijten aan niet up-to-date zijn van pakketten (phpbb,
joomla...) of slecht gescripte sites.

Mvg,
Bernard