Bekijk Volledige Versie : Digitalus offline - nameservers gehacked?
IceHosting
05/08/13, 13:40
We kregen vanochtend een klant die verbaasd was dat zijn site eruit lag. Hij had zijn domein bij digitalus afgenomen en de hosting bij ons ondergebracht. Het domein werd via de nameservers van digitalus doorgestuurd.
Na onderzoek bleken alle A records aangepast te zijn zodat die op een pagina terrechtkomen met een iframe forwarding erin (virus?). De website van digitalus heeft er ook last van.
Weet iemand meer van de situatie bij digitalus?
[root@server20 ~]# dig digitalus.nl
; <<>> DiG 9.8.2rc1-RedHat-9.8.2-0.17.rc1.el6_4.5 <<>> digitalus.nl
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 24364
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 3, ADDITIONAL: 3
;; QUESTION SECTION:
;digitalus.nl. IN A
;; ANSWER SECTION:
digitalus.nl. 86072 IN A 178.33.22.5
;; AUTHORITY SECTION:
digitalus.nl. 6854 IN NS nameserver1.digitalus.nl.
digitalus.nl. 6854 IN NS nameserver2.digitalus.nl.
digitalus.nl. 6854 IN NS nameserver3.digitalus.nl.
;; ADDITIONAL SECTION:
nameserver1.digitalus.nl. 62694 IN A 178.33.22.5
nameserver3.digitalus.nl. 62694 IN A 178.33.22.5
nameserver2.digitalus.nl. 62694 IN A 178.33.22.5
;; Query time: 15 msec
;; SERVER: 127.0.0.1#53(127.0.0.1)
;; WHEN: Mon Aug 5 12:38:02 2013
;; MSG SIZE rcvd: 172
[root@server20 ~]#
dennis0162
05/08/13, 13:52
Ziet er niet best uit.
Misschien meteen even en abuse naar OVH sturen? 178.33.22.5
Ziet er niet best uit.
Misschien meteen even en abuse naar OVH sturen? 178.33.22.5
Good luck, tegen nieuwjaar krijg je eens antwoord terug van ze ;).
Hun glue records blijkbaar wel nog in orde te zijn:
Domeinnaamservers
nameserver1.digitalus.nl 85.158.251.251
nameserver2.digitalus.nl 83.96.142.70
nameserver3.digitalus.nl 83.96.142.71
En aangezien mijn resolvers wat slimmer zijn pakt hij de glue records in plaats van de A records die het eigen domein zend ;).
PerryKniest
05/08/13, 14:18
Enig idee wat dat frame forward doet? Mijn virusscanner reageert er in ieder geval niet op.
Bakker ICT
05/08/13, 14:44
Reacties van OVH krijg ik de laatste tijd na ongeveer een maand na de melding, dus dat schiet inderdaad niet op ;) Duurt overigens wel lang voordat alles weer in de lucht is, vanaf vanochtend om 9 uur kwam ik al terecht op deze pagina. Even daarvoor werkte het nog, maar dat kon ook cache zijn.
Reacties van OVH krijg ik de laatste tijd na ongeveer een maand na de melding, dus dat schiet inderdaad niet op ;) Duurt overigens wel lang voordat alles weer in de lucht is, vanaf vanochtend om 9 uur kwam ik al terecht op deze pagina. Even daarvoor werkte het nog, maar dat kon ook cache zijn.
De cache die ze je proberen te geven is 24 uur. DNSSEC had deze problemen mogelijk kunnen voorkomen/beperken.
DNSSEC had deze problemen mogelijk kunnen voorkomen/beperken.
Hoe dan? Als ze binnen zijn op je DNS dan hebben ze de vrije hand. Immers, ze kunnen gewoon bij je keys.
staat een stukje op tweakers.net http://tweakers.net/nieuws/90566/dns-servers-digitalus-vdx-en-webstekker-waren-gehackt.html
Slecht ook dat maar 4 van de 45 virusscanners van Virustotal melden dat er iets vreemds met het bestand is.
PerryKniest
05/08/13, 16:12
Slecht ook dat maar 4 van de 45 virusscanners van Virustotal melden dat er iets vreemds met het bestand is.
Daar sluit ik me bij aan, en vraag me nu wel af of er iets op de computer staat of niet als je de pagina hebt bezocht?
Bakker ICT
05/08/13, 16:25
Perry, zorgen dat je met een van die 4 viruscanners die het wel hebben ontdekt je computer scant. Kaspersky bijv. Of je moet Linux/Mac gebruiken ;)
Hoe dan? Als ze binnen zijn op je DNS dan hebben ze de vrije hand. Immers, ze kunnen gewoon bij je keys.
Dat ligt eraan hoe ze het precies gedaan hebben. De informatie die ik tot nu toe heb gezien geeft aan dat er mogelijk geen toegang tot de naamservers is verkregen (echter wel toegang om glue records aan te passen bij bv SIDN). In dat geval is de kans redelijk dat het met dnssec op was gevallen (de sites effectief niet meer werkten ipv dat er malware op kwam te staan).
Dat ligt eraan hoe ze het precies gedaan hebben. De informatie die ik tot nu toe heb gezien geeft aan dat er mogelijk geen toegang tot de naamservers is verkregen (echter wel toegang om glue records aan te passen bij bv SIDN). In dat geval is de kans redelijk dat het met dnssec op was gevallen (de sites effectief niet meer werkten ipv dat er malware op kwam te staan).
Hoezo ?
Als je glue records kunt aanpassen bij SIDN met de credentials van een registrar , dan kun je toch ook dnssec voor het domain uitzetten, dan wel de keys updaten ?
Je moet er natuurlijk wel aan denken omdat (ook) te doen, maar er is toch geen verschillend niveau van toegang tussen 'glue records updaten' en 'dnssec update' ?
Hoezo ?
Als je glue records kunt aanpassen bij SIDN met de credentials van een registrar , dan kun je toch ook dnssec voor het domain uitzetten, dan wel de keys updaten ?
Je moet er natuurlijk wel aan denken omdat (ook) te doen, maar er is toch geen verschillend niveau van toegang tussen 'glue records updaten' en 'dnssec update' ?
Dat kun je dan inderdaad aanpassen, dan krijg je alleen als het goed is wel eerder foutmeldingen. Daarnaast is de vraag of het pakket dat nu gekraakt is het ondersteund om dnssec gerelateerde informatie te wijzigen.
24hosted BV
06/08/13, 14:01
De login van SIDN zou eigenlijk nog beveiligd moeten worden met rechten, hierdoor zou je DNSSEC, GLUE RECORDS en NAMESERVERS domein uit elkaar kunnen trekken. Er van uitgaande dat ze login naar SIDN in handen krijgen door je Nameserver te hacken.
Basis is natuurlijk om je nameservers veilig te hebben, maar is DNSSEC veilig als ze bij je Nameservers kunnen? Hangt van je eigen config af, het is natuurlijk ook mogelijk dat je connectie met SIDN op een andere server plaatsvindt.
dennis0162
06/08/13, 14:13
Login van het SIDN DRS zou 2 way authentication of op basis van IP-adres extra beveiligd moeten zijn.
Met EPP kan je al niet veel omdat dit op IP basis is beveiligd. Dan moet het al via je eigen server gaan.