Bekijk Volledige Versie : Websites gehacked?
Ik heb een klant die (binnenkort verhuist ie op mijn advies) hosting afneemt bij Flexwebhosting. De site is 2 x gehacked in een week (2 verschuillende startpaginas). Zie bijlage. Ze claimen nu dat dat ligt aan het feit dat deze personen de FTP gegevens e.d. hebben bemachtigt. Maar als ik check via http://search.lipperhey.nl/?search=hosting:85.92.140.26&sort= dan zie ik toch dat meerdere sites zijn gehacked.
Dat lijkt mij toch een cPanel o.i.d. probleem. Of zie ik dat verkeerd? En is het niet een beetje vreemd dat ze geen verantwoordelijkheid nemen en dit afschuiven en de klant zeggen dat het aan hem ligt?
Hun laatste antwoord:
De server is reeds onderzocht hierop, het betreft hier geen serverhack maar een website hack.
De hacker heeft toegang verkregen door gestolen FTP accounts waarmee deze de bestanden heeft geupload en zo diverse websites heeft kunnen defacen.
--
Raar dat men die kan verkrijgen.
ServerWizards
27/07/10, 12:43
Jij denkt dat mensen niet ftp-en via onbeveiligde hotspots of geen malware op hun pc kunnen hebben die deze info opgeeft?
Komt regelmatig voor dat 'hacks' bestaan uit één volledig correcte inlogpoging via ftp.
Jij denkt dat mensen niet ftp-en via onbeveiligde hotspots of geen malware op hun pc kunnen hebben die deze info opgeeft?
Komt regelmatig voor dat 'hacks' bestaan uit één volledig correcte inlogpoging via ftp.
Maar dit is op de hele server. Dus hebben ze (denk ik dan) het hoofdaccount te pakken. Dat lijkt me een zaak van de provider dan toch? Die is dan wel erg onzorgvuldig.
Is 2 jaar geleden ofzo ook een keer gebeurd. Site van een vriendin was via een andere site gedefaced door een of andere Turkse groep. Heb toen even gekeken maar alle sites die ik toen heb bekeken die ook op die server draaiden waren allemaal gedefaced.
Misschien slechte beveiliging en kunnen ze via site A heel makkelijk bij site B komen
Wij merken het de afgelopen twee weken ook weer, via gestolen FTP logins (vaak met een virus op de PC van de klant) woren er sites geïnfecteerd.
Het betreft hier GEEN lek op de server, maar echt een lek bij de klant. Via een direct succesvolle FTP login worden er bestanden aangepast.
Wij merken het de afgelopen twee weken ook weer, via gestolen FTP logins (vaak met een virus op de PC van de klant) woren er sites geïnfecteerd.
Het betreft hier GEEN lek op de server, maar echt een lek bij de klant. Via een direct succesvolle FTP login worden er bestanden aangepast.
Maar het is wel vreemd dat het meerdere sites op dezelfde server zijn...
Maar het is wel vreemd dat het meerdere sites op dezelfde server zijn...
Maar zijn het ze allemaal of zijn het er bijvoorbeeld 5 van de 1500 die op een webserver draaien? Dat maakt nogal een verschil natuurlijk. Ik ga er vanuit dat TS ze niet allemaal op die webserver heeft nagekeken.
Maar het is wel vreemd dat het meerdere sites op dezelfde server zijn...Wij hebben een paar honderd sites waar het overkomen is (op enkele tienduizenden).
Hebben alles gecontroleerd, maar er wordt via FTP ingelogt, daarna worden er een paar PHP bestanden geüpload die daarna via HTTP worden aangeroepen en zo de site infecteren.
Maar het is wel vreemd dat het meerdere sites op dezelfde server zijn...
En het kan ook zijn dat dit sites zijn van dezelfde klanten of mogelijk bekenden van klanten die hetzelfde virus hebben...
Vaak is het toch echt "legitieme" logins via FTP.
Komen wij ook vaak tegen, na wat zoeken blijken die sites dan bijvoorbeeld door dezelfde persoon gemaakt te zijn en had hij/zij een ftp programma waar nogal makkelijk wachtwoorden uit konden worden gehaald. Je kunt hier scripting technisch iets voor maken (controle van je ftp uploads), maar dat schiet denk ik z'n doel voorbij. Regelmatig wachtwoorden wijzigen en een veilig ftp programma doen wonderen.
Hier ook last van gehad en dat kwam door een kernel exploit. Kijk eens of deze ook uptodate zijn!
zelfde verhaal,
ik was er een van :thumbdown:
klant van iemand wie reeds in het topic gereageerd heeft ;)
Kan beter de naam van de ISP niet uit de topic titel gehaald worden?
Kan beter de naam van de ISP niet uit de topic titel gehaald worden?
Inderdaad! Domenico reageert hier maar wijzigt de titel niet, helaas.
Inderdaad! Domenico reageert hier maar wijzigt de titel niet, helaas.
Nou nou rustig aan, heb ook andere dingen. Lees het net en is al aangepast. :)
dreamhost_nl
28/07/10, 14:42
@TS: Het is niet met zekerheid te zeggen of alle sites op de hele server zijn aangepast. De mogelijkheid dat FTP gegevens (via malware, een virus, of onzorgvuldigheid) zijn achterhaald is over het algemeen vele malen groter dan dat alle web sites op een server via een veiligheidslek zijn aangepast.
@Domenico: Je bent hier toch (nog) teveel aanwezig. WHT-ers beginnen al te denken dat je niets anders te doen hebt... ;)
Helaas is dit een veel voorkomend probleem. Pas was een server van een klante ook de dupe van een soort gelijk probleem. Via zijn pc (of van de webmaster) zijn de FTP wachtwoorden doormiddel van malware achterhaald. Hierna heeft een botnet aan alle bestanden een paar regel extra code toegevoegd, wat weer zorgde voor een verdere verspreiding van de malware.
Lees: http://www.security.nl/artikel/32334/1/Gumblar_en_Conficker_domineren_cyberaanvallen.html
Ook kan het een bug zijn in de software die op de server draait. In PHP zit ook een soortgelijke bug, welke hackers toegang geeft bestanden op de websites te draaien.
Lees: http://www.securityfocus.com/bid/38431/discuss
@Domenico: Je bent hier toch (nog) teveel aanwezig. WHT-ers beginnen al te denken dat je niets anders te doen hebt... ;)
Vind je het niet gezellig dan?
Zal alleen maar meer gaan worden hoor binnenkort maar wees gerust, Augustus wat minder maar dan is het knallen. Eerst morgen even vliegen naar Bali. ;)
Get used to it!
Maar de klant zal altijd wel een van de zwakke schakels blijven en dus ook een grote target voor de crackers/botschrijvers.