Onderwerp: Remote exploit Plesk API

Gefixed op 2 september 2011?? Parallells had iedereen moeten informeren en wel tenminste via een bericht op het controlpanel zelf. Ik ben vast niet de enige die Plesk niet continu update, want elke keer als ik update gaat er wel iets stuk in Plesk (zelfs met kleine updates). Dus automatisch updaten zit er niet in. En dat er een api bestond wist ik voorheen ook niet. Voor zover ik kan zien heeft het hernoemen van die bestanden geen negatief effect op de server gehad, dus via die files komen ze nooit meer binnen. Ik hoop dat ze mijn server nu overslaan na het veranderen van Plesk en FTP poorten.

Bedankt Mikey voor de code.

het is niet mogelijk je poort te wijzigen in plesk 10 (de default 8443)
en de api gaat het vanzelf weer doen als Agent.php een update krijgt... ik zou dat toch ff in de gaten houden

Ik heb niet de intentie om over te stappen op Plesk 10, vanwege de nieuwe structuur (geen losse httpdocs/httpsdocs) en het (mogelijke) feit dat die overgang nog veel meer sloopt. In het verleden ben ik uren tot zelfs dagen bezig geweest met het zoeken naar oplossingen en herstellen van fouten na updates en upgrades.

Hi again...

just one reminder: Mikey's scripts are a good start, but they are missing some passwords:

- Plesk Domain administrator (covered with his first script)
- FTP users (covered with his second script)
- Plesk Reseller login
- Plesk Client login
- MySQL users
- protected directories
- web users
- email accounts
- maybe frontpage accounts (if FP extensions are installed)

...and yes, ALL of those passwords are in the same SQL table, almost all of them in clear text. And if not ALL of them are changed, they will be used sooner or later.

...just a warning...

Zie dat Parallels ook wakker wordt: http://kb.parallels.com/en/113391

Oorspronkelijk geplaatst door coenwht

Zie dat Parallels ook wakker wordt: http://kb.parallels.com/en/113391

Wel een beetje laat immers het eerste script wat ze hadden was zo onzorgvuldig als het maar kon.
De hele support bij Parallels (sinds naar India verhuist) is flut met hoofdletters........

Vers van de pers

http://webwereld.nl/nieuws/109740/ho...-klanten-.html

Dan moet je deze er ook aan toevoegen natuurlijk :

http://webwereld.nl/analyse/109741/h...e-hoster-.html

Iemand die al met Parallels gecommuniceerd heeft hier over? Mag aannemen dat ze zich rotschamen dat ze niet even een net mailtje er uit hebben gestuurd na het fixen van zoon kritieke fix. Vreemd want op 1 september heb ik wel een mail gehad over een andere exploit...

Oorspronkelijk geplaatst door Bakker ICT

Iemand die al met Parallels gecommuniceerd heeft hier over? Mag aannemen dat ze zich rotschamen dat ze niet even een net mailtje er uit hebben gestuurd na het fixen van zoon kritieke fix. Vreemd want op 1 september heb ik wel een mail gehad over een andere exploit...

Zwijgen in alle talen, na contact hebben ze wel het beschikbare script voor de passw change "server wide" aangepast maar meer niet!

Vandaag gemerkt dat het script massaal wordt misbruikt.
Zo worden er perl scripts geinstalleerd die UDP attacks uitvoeren.

Deze worden gestuurd door een C&C server.
Bv http://paneyeum.com/ping

Oorspronkelijk geplaatst door dupondje

..
Zo worden er perl scripts geinstalleerd die UDP attacks uitvoeren.
..

Wat is de locatie waar die perl scripts staan geïnstalleerd?

Hij zet ze in cgi-bin, via de filemanager doet hij ze uploaden en vervolgens uitvoeren via een cronjob van de desbetreffende client.

Patchen (had je al eerder moeten doen) dan ALLE (dus Plesk login, FTP, etc., etc.) paswoorden wijzigen van alle accounts.

voeg dit in ieder geval toe aan je /etc/hosts file

PHP Code:

127.0.0.1       paneyeum.com
127.0.0.1       potopticum.com
127.0.0.1       vesselopticum.com 


dan zijn de ddos bots in ieder geval hun c&c server kwijt.