Bekijk Volledige Versie : pas op voor spam mail van "directadmin" om te updaten
swedendedicated
25/05/11, 22:56
Vandaag deze binnen gekregen. Link heeft een exploit/virus dus niet klikken.
Please note that currently there is a security vulnerability concerning the current DirectAdmin version, in order to learn how to protect your server until we can issue a patch please visit http:// www. austinfosec.com.au/update.php
Thank you,
DirectAdmin.com
rensariens
25/05/11, 23:01
Link lijkt al down (of werkt niet in chrome), hier even getest in aparte VPS. DA zelf gehacked? Komt wel van DA zelf af namelijk:
X-Spam-Status: No, score=-1.9 required=5.0 tests=BAYES_00,SPF_HELO_PASS,
SPF_PASS autolearn=ham version=3.3.0
Received: from jbmc-software.com ([216.194.67.119])
Wat voor virus/exploit was het overigens?
Ik heb deze mail ook net gekregen. Ik heb hem alvast doorgestuurd naar de mannen van DA zodat ze andere gebruikers kunnen waarschuwen. Desondanks een up-to-date windows install en het onderscheppen van wat malware is er toch vuiligheid doorgekomen. Momenteel mijn PC aan het scannen...
Verander voor de veiligheid mss de http:// naar hxxp:// zodat niemand er op klikt
Zag hem ook net binnenkomen, maar gelijk verwijderd :) Waarom zou DA linken naar een andere domein voor een security leak te melden, slaat nergens op.
Tim.Bracquez
25/05/11, 23:03
Hier ook een draadje: http://www.directadmin.com/forum/showthread.php?t=40454
Heb de e-mail ook ontvangen. Netjes voorzien van mijn eigen naam maar de url met een Australisch domein weerhield mij ervan om erop te klikken.
Tim.Bracquez
25/05/11, 23:08
Laat ons hopen dat het gewoon een e-mail is, en niet de files.directadmin en de creditcard info
ook gehad, dit is echte data van een echte DA server
rensariens
25/05/11, 23:11
Ik heb deze mail ook net gekregen. Ik heb hem alvast doorgestuurd naar de mannen van DA zodat ze andere gebruikers kunnen waarschuwen. Desondanks een up-to-date windows install en het onderscheppen van wat malware is er toch vuiligheid doorgekomen. Momenteel mijn PC aan het scannen...
Verander voor de veiligheid mss de http:// naar hxxp:// zodat niemand er op klikt
Wat voor exploit was het, java? Hier werkte het ieder geval niet in een testomgeving met Chrome.
ook gehad, dit is echte data van een echte DA server
Das niet best ...
Same here, uiteraard regelrecht naar de prullenbak. Hopelijk is de schade aan de kant van DA beperkt. In de zin van server(s) hacked.
Er zijn inmiddels op het DA forum 5 topics over te vinden. Met één reactie van DirectAdmin.
Hello,
We did not deliver that email. We are currently investigating.
John
dennis0162
25/05/11, 23:12
Net ook 2 mails van binnen gekregen. (2 accounts)
DirectAdmin database is gehackt. 1 account staan mijn tussenvoegsels wel ingevuld en bij de ander niet.
Ik ben benieuwd hoe ze dit gaan oplossen. Wellicht ook creditcard gegevens op straat?
Tim.Bracquez
25/05/11, 23:15
Nu ze de namen hebben, mails, hebben ze ook alle licentie informatie en server IP's. Moest het waar zijn er een bug in DirectAdmin zit, dan hebben ze wel een leuk netwerk dat ze nu kunnen uitbuiten...
dat hoeft natuurlijk niet, dat ze ook licentie info hebben
Het wordt steeds enger,
http://img843.imageshack.us/img843/2585/bedreiging.png
Op het DA forum, dit even goed in de gaten houden, aangezien je bij DA ook je root PW kan opgeven voor support.(godzijdank hebben wij hier een fake)
Ik heb het cron updaten van custombuild ook maar even uitgezet, mochten de update/file server ook gehackt zijn.
dennis0162
25/05/11, 23:25
hm DirectAdmin CP maar ff uitzetten:O?
Yourwebhoster
25/05/11, 23:25
Het wordt steeds enger,
http://img843.imageshack.us/img843/2585/bedreiging.png
Op het DA forum, dit even goed in de gaten houden, aangezien je bij DA ook je root PW kan opgeven voor support.(godzijdank hebben wij hier een fake)
Komt door de URL lijkt me. Sowieso moet je je root password aanpassen (ook als je de installatie door hen laat doen), maar voor diegenen die het niet gedaan hebben bij deze de tip.
Yourwebhoster
25/05/11, 23:26
Ik heb het cron updaten van custombuild ook maar even uitgezet, mochten de update/file server ook gehackt zijn.
Kan je beter altijd uit laten en zelf updaten. Stel dat er net een verkeerde update bij zit dan ben je aardig de ***.
Kan je beter altijd uit laten en zelf updaten. Stel dat er net een verkeerde update bij zit dan ben je aardig de ***.
precies, alleen notify :)
precies, alleen notify :)
Ik had het alleen over de da_autoupdate, de echte updates had ik (uiteraard) uit staan ;)
MAAR, misschien beste om cron nu helemaal uit te zetten, omdat custombuild zelf wel geupdate kan worden?
Nieuws:
Thanks for your patience everyone. We are still investigating but don't want to leave you in the dark. Here's what we know so far:
Our server was compromised (not at the root level but serious enough nonetheless) and is being used to send those malicious e-mails to customers. We have disabled our mail server to interrupt this process.
Some customer information has been compromised: Name, e-mail address, mailing address, license ID#'s.
Billing information (e.g. Credit Card numbers, PayPal accounts, etc.) is absolutely safe. We use a restricted merchant gateway that doesn't allow us, even as owners, to view your full credit card information.
Finally, don't click that link. It's a malicious program but it can be cleaned with Trend Micro Housecall, MalwareBye's Anti-Malware, etc.
Will keep you updated..
Mark
Maar iedereen volgt DA forum neem ik aan :)
Wat voor exploit was het, java? Hier werkte het ieder geval niet in een testomgeving met Chrome.
Exploit HTML/CVE-2010-4452.A
Exploit Win32/Pdfjsc.OU
van deze 2 heb ik een melding gekregen
Tim.Bracquez
25/05/11, 23:34
Wie weet kunnen ze met die notify ook wat leuks
Yourwebhoster
25/05/11, 23:35
Ik had het alleen over de da_autoupdate, de echte updates had ik (uiteraard) uit staan ;)
MAAR, misschien beste om cron nu helemaal uit te zetten, omdat custombuild zelf wel geupdate kan worden?
da_autoupdate is even echt als de andere updates, maar goed dat moet je zelf weten. Sowieso zou ik cron niet voor updates gebruiken, enkel op één server om een notify te krijgen en meer niet (leuk, paar honderd notifies anders).
Bakker ICT
25/05/11, 23:36
Originally Posted by DirectAdmin Sales View Post
Thanks for your patience everyone. We are still investigating but don't want to leave you in the dark. Here's what we know so far:
* Our server was compromised (not at the root level but serious enough nonetheless) and is being used to send those malicious e-mails to customers. We have disabled our mail server to interrupt this process.
* Some customer information has been compromised: Name, e-mail address, mailing address, license ID#'s.
* Billing information (e.g. Credit Card numbers, PayPal accounts, etc.) is absolutely safe. We use a restricted merchant gateway that doesn't allow us, even as owners, to view your full credit card information.
* Finally, don't click that link. It's a malicious program but it can be cleaned with Trend Micro Housecall, MalwareBye's Anti-Malware, etc.
Will keep you updated..
Mark
Gelukkig wel verstandig voor een externe CC partij gekozen ;)
swedendedicated
25/05/11, 23:38
Een gedeelte van de data is gestolen, mijn naam werd netjes in de mail gezet zoals bij iedereen hier, zoiets ligt niet op straat. Iemand vroeg wat de exploit was.
"exploit blackhole exploit kit (type 2009) keinc0x.com/index.php?tp=ceb16......." code staat hier: http://pastebin.com/zvxKigF7
Exploit HTML/CVE-2010-4452.A
Exploit Win32/Pdfjsc.OU
van deze 2 heb ik een melding gekregen
nog eentje
Trojan Java/Bitverify
Gezien er ook PDF en Java plugins ed misbruikt worden lijkt mij de kans reel dat het in zowat alle browsers prijs zal zijn.
Bakker ICT
25/05/11, 23:40
Zo te zien alleen Windows !? Geen gekke dingen gebeuren @ mac...
Niks gezien op mac... ook geen virusscanner voor mac (of i.i.g. geen die op de achtergrond meedraait)
Zit zo te zien ook iets voor de mac in.
if (!i && c.mimeObj && e.isSafari && e.OS == 2) {
a = e.findNavPlugin("Java.*\\d.*Plug-in.*Cocoa", 0);
if (a) {
q = e.getNum(a.description);
if (q) {
i = q
}
}
}
if (e.isSafari && e.OS == 2) {
if (!versionEnabled && o) {
if (c.installed === null) {
c.installed = 0
} else {
if (c.installed == -0.5) {
c.installed = 0.5
}
}
}
}
Zie ook nog eea voor iPod, iPad, iPhone
Ik vond die mail nogal vreemd, vooral doordat er een externe website in stond. Denk even checken op WHT en mijn vermoeden klopte. Neem aan dat ze alles even goed checken zodat er geen meuk met een update e.d. mee komt.
Niks gezien op mac... ook geen virusscanner voor mac (of i.i.g. geen die op de achtergrond meedraait)
Behalve een warning in de firewall is hier ook niets gebeurd waarvan je dergelijke zaken verwacht. Virussen moeten niet altijd opvallend zijn eh :)
Behalve een warning in de firewall is hier ook niets gebeurd waarvan je dergelijke zaken verwacht. Virussen moeten niet altijd opvallend zijn eh :)
Die site lijkt inmiddels al offline gehaald of is dat ook fake?
cyberbootje
25/05/11, 23:55
Mailtje is sowieso al vreemd, meestal is de ondertekening: John en niet: DirectAdmin.com en daarnaast is Directadmin niet bepaald gretig met het mass-mailen zelf....
Nieuwe update van Mark nu:
--
I'll try and answer your questions as honestly and quickly as possible, but please understand we are busy fixing the server.
Lem0nHead: From what we can tell, the hacker(s) would know which IP matches the license ID#.
Starteck2002: As Wouter mentioned, nobody can do anything with your client/license ID#'s but we can certainly reissue licenses if that puts your mind at ease.
aleto: We have confirmed that the last build is untouched and there is no danger from someone pulling the latest update.tar.gz. There are no problems with installing/updating DA.
stardot: We are still looking into it so the only assurances we can offer right now is that billing information (Credit Card / PayPal) is not compromised in any way. The user database info we keep on this end is related to contact info and licensing information only. NOT BILLING.
Mark
--
Smart-Guyz
26/05/11, 02:50
Je kan nu bij DirectAdmin je wachtwoord veranderen van je account, mocht je dit nodig vonden.
Wachtwoorden zijn volgens Mark encryted, maar het biedt misschien meer geruststelling.
Ook kan je eventueel je licenties laten vernieuwen door hen, puur voor de geruststelling.
Ik vraag me alleen af hoe het met het wachtwoord zit dat je invoert voor remote assistent.
Zelf heb ik er nooit gebruik van gemaakt, maar ik kan me voorstellen dat er mensen zijn die deze root gegevens van de server wel hebben ingevoerd.
Tot in hoever zijn deze secure, deze kunnen nooit encrypted zijn, aangezien hun er anders ook niks mee kunnen.
http://www.directadmin.com/forum/showpost.php?p=204124&postcount=134
Ik vraag me alleen af hoe het met het wachtwoord zit dat je invoert voor remote assistent.
Zelf heb ik er nooit gebruik van gemaakt, maar ik kan me voorstellen dat er mensen zijn die deze root gegevens van de server wel hebben ingevoerd.
Tot in hoever zijn deze secure, deze kunnen nooit encrypted zijn, aangezien hun er anders ook niks mee kunnen.
Hoezo, je kan toch encryptie met salt keys (private keys) gebruiken en die vervolgens gebruiken om de paswoorden te decrypten. Dus ik zie het probleem niet echt tenzij de salt key's ook gehackt zijn uiteraard, of je zou er al zware rainbow tables op los moeten laten.
Heb de e-mail overigens ook mogen ontvangen en direct naar /dev/null verwezen ;)
Tja, woensdag gehaktdag? Ze hadden zeker een oude versie van exim draaien.... ;)
Hier de mail ook ontvangen... ik vond het al vreemd dat mijn volledige naam e.d. erin stond...
Hopelijk kunnen ze idd niks met deze gegevens, behalve e-mail sturen, maar een fijn idee is het niet.
Ter info, je kan nu ook het wachtwoord wijzigen van je client account wijzigen bij DA.
Ter info:
Ik heb begrepen dat ze zijn gesnift op een netwerk van een ander waardoor toegang tot hun backoffice was verkregen. Iemand die thuis werkt of niet op een vaste lijn. Dus geen softwarelek. Blijkbaar geen https
En ter discussie:
Het voordeel van een centrale dienst/server voor allerlei producten wordt zo wel steeds kleiner. Moeten we ons inmiddels gaan afvragen of het nog wel verstandig is om alles maar naar 1 centraal punt te knopen?
cyberbootje
26/05/11, 13:58
En ter discussie:
Het voordeel van een centrale dienst/server voor allerlei producten wordt zo wel steeds kleiner. Moeten we ons inmiddels gaan afvragen of het nog wel verstandig is om alles maar naar 1 centraal punt te knopen?
Het is wellicht handig hier een aparte thread voor te starten?
Om toch maar iets te zeggen over het tweakers stukje, https geeft bij het sniffen op een netwerkje nog steeds geen veiligheid.
Ssl wordt gefaked en je bent nog steeds de klos. De enige juiste manier is een encrypted vpn lijntje...
patrickekkel
26/05/11, 15:22
mail ook gekregen vondt het ook al vreemd vanacht gelijk al verwijderd maar wist niet dat het zo erg was
Vreemd genoeg niets ontvangen.. Wel leuk dat ze ineens alle IP info mee hebben, als ze wat vinden..
patrickekkel
26/05/11, 20:09
Net een mail gekregen van Directadmin
------------------
In the last 24 hours an e-mail was sent to clients with the subject: "DirectAdmin Client Message." This message claimed there was a serious DirectAdmin security issue and included a link to a phishing website.
We apologize to all our clients because this was a result of our server being compromised. Please DELETE the phishing e-mail and run a virus scanner if you clicked on the link. Most people were not exposed to the phishing site because it was taken down very quickly. For this reason you may have seen a 404 error only.
First and foremost, your billing information remains 100% safe. We store no financial information on our server. In addition, we use a merchant gateway that restricts us, even as owners, from viewing your credit card information. Secondly, there is no security issue with the latest version of DirectAdmin. We have no reason to belive that DirectAdmin or any related software is vulnerable to attack. There are thousands of DirectAdmin servers and no reports of any being compromised.
Please note that we encrypt ALL passwords; for example, any password generated (e.g. client account password) and any password you provide (e.g. server password on the order form). Although cracking encrypted passwords is unlikely, changing your password is the best way to guarantee 100% security. Aside from that, there is nothing else you need to do as a customer. Your DirectAdmin server is not open to any new vulnerabilities.
We sincerely apologize and take responsibility for this incident. If you require more specific information please contact me at mark@jbmc-software.com for a personal response, or you can use our regular support@directadmin.com address. I'm available for addressing specific questions and concerns.
Mark
JBMC Software
En het verhaal gaat door:
http://www.webhostingtalk.com/showthread.php?t=1052123
Dear Sir,
Attached is a list of the copyrighted material you are infriging on.
We are the proprietors of all copyrighted material that is being fringed upon on your companies webste.
We have reserved all rights regarding these trademarked files.
Permission was neither asked nor granted to reproduce our copyrighted material, therefore what your company is doing constitutes infringement of our rights. In terms of the Copyright Statutes, we are entitled to an injunction against your continued infringement, as well as to recover damages from you for the loss we have suffered as a result of your infringing conduct.
In the circumstances, we demand that you immediately:
1. remove all infringing content and notify us in writing that you have done so;
2. pay a licensing fee in the amount of 160,000 USD;
3. immediately cease the use and distribution of copyrighted material;
We await to hear from you by.
This is written without prejudice to our rights, all of which are hereby expressly reserved.
Yours faithfully,
CEO Andrew Webber
www.arizonakey.com
Ook gehad, vooral leuk dat er geen bijlage aan hing. ;)
Heb deze mail ook gehad in tweevoud. Eentje met bijlage en eentje zonder. Las het als eerste op me telefoon in de auto en kon dus de bijlage niet zien, ik dacht welke klant heeft nu weer wat uitgespookt. Eenmaal thuis zag ik de bijlage waarin ik maar niet meer verder heb geklikt, was meteen duidelijk dat het nep was.
Tim.Bracquez
28/05/11, 01:13
Hier ook gehad...
Komt van een server in Nedzone in het rack van Ageo BVBA (belgisch bedrijf) op een directadmin host.
De andere van een australische host.
Hier ook gehad...
Komt van een server in Nedzone in het rack van Ageo BVBA (belgisch bedrijf) op een directadmin host.
De andere van een australische host.
Zou er dan toch een security lek zijn in DA, of is het gewoon toeval?
Tim.Bracquez
28/05/11, 08:53
Zou er dan toch een security lek zijn in DA, of is het gewoon toeval?
Laat ons hopen dat het toeval hier. Hier nu toch alles goed in het oog aan het houden. In ieder geval, we staan op een spamlijstje nu ;)
patrickekkel
28/05/11, 10:21
Hier ook het zelfde mailtje gekregen
1e keer zonder bijlage 2e keer mat een .doc bijlage
Waar een hyperlink in zat en die stuurde door
Naar een backdoor virus
Wat me wel opvalt en dat houd in dat diegene die dit rondstuurt in ieder geval affiniteit met de hosting branche heeft. Eerst security update, en vervolgens copyright violation
Typische hosting issues ;-)
Vandaag ook die copyright infringement e-mail ontvangen.
Hier paar headertjes
Received: from piter3.dns-rus.net ([91.219.194.3])
by xxxxxx.be with esmtps (TLSv1:AES256-SHA:256)
(Exim 4.67)
(envelope-from <kinobook@piter3.dns-rus.net>)
id 1QUBmZ-0004QN-Dt
for xxxxxx@xxxxxx.be; Wed, 08 Jun 2011 07:58:23 +0200
Received: from kinobook by piter3.dns-rus.net with local (Exim 4.69)
(envelope-from <kinobook@piter3.dns-rus.net>)
id 1QUBlz-0001YP-3b
for xxxxxx@xxxxxx.be; Wed, 08 Jun 2011 09:57:47 +0400
To: xxxxxx@xxxxxx.be
Subject: Cease copyright infrigement!
X-PHP-Script: creativno.net/wp-content/plugins/sendme.php for 82.195.232.218, 82.195.232.218
Mail is verstuurd via een wordpress plugin. Die piter3 server blijkt trouwens een cPanel server te zijn, dus zal geen lek in DA zelf zijn. Het zijn dus wsl enkel de contactgegevens die ze misbruiken.
//edit: die 82.195.232.218 is een dedicated server in Zwitserland.
Haha, die heb ik ook gehad... Zat vanochtend al rechtop in bed toen ik dit las toen ik mijn mail op mijn mobiel binnencheckte. Vond het al direct opvallend (licentiekosten van $160.000; yeah right)....
AVG sloeg meteen alarm toen ik die copyright-pagina opende...
Nu ben ik even virussen aan het scannen, maar ik geloof dat die er niet zijn.
Ik kan me eigenlijk niet herinneren dat ik een account bij DirectAdmin heb? Wel een forumaccount.....
Heb hem vandaag ook gekregen, maar zat al direct in mijn spam folder ;). Headers waren dezelfde als van Cakkie, misschien zijn ze de Directadmin lijst in stukken aan het opdelen en vanaf verschillende servers te verzenden.
Wat ik wel al gemerkt heb de laatste tijd is dat de firewall overuren moet draaien ik zie veel meer attacks dan voorheen, zowel op ssh als <ip>/webmail, <ip>/roundcube, etc. Nu ik heb geen webmail van de standaard directadmin draaien dus dat valt dan wel redelijk op. Zijn er nog WHT-ers die een verhoogde attack rate (dan het gemiddelde) op DA servers merken?
R. Persoon
09/06/11, 07:07
De laatste weken groeien de logfiles van poort 22 hier ook exponentieel inderdaad, webmail is vooralsnog niet echt meer of minder dan normaal. Ook de copyright emailtjes al meerdere malen op verschillende emailadressen gekregen, opvallend dat ik die gisteren ook op m'n privémail kreeg, die ik - behalve bij bol.com- voor zover ik weet nog nooit op internet heb opgegeven.
dreamhost_nl
09/06/11, 07:08
We hebben geen DA, maar merken ook een verhoogde hoeveelheid aan "Brute Force Attacks" (FTP/POP3/IMAP/SMTP), dus dit is zuiver toeval lijkt me. SSH draait bij ons op een alternatieve poort. Wel zo rustig... ;)