Ftp accounts gehackt

[dennis1309]

Beste Whters,

Wij hebben de laatste tijd erg veel last van dit virus wat de ftp gegevens gebruikt van klanten en sites besmet.

http://www.qualitycodes.com/tutorial.php?articleid=29

Tevens gaat de server dan spammen en komt de server ip op de blacklist.

Echt heel erg vervelend.

Hebben andere webhosters hier nu ook veel last van?
En hoe pakken jullie dit aan?

Wij scannen ftp bestanden al tijdens het uploaden naar de server.
Verder proberen wij de klanten goed in te lichten om geen wachtwoorden meer op te slaan in ftp programma's en goede viruscanners te gebruiken.

Het is alleen niet genoeg.

Ik ben erg benieuwd hoe mijn collega's dit probleem aanpakken.

De bron van de oorzaak ligt natuurlijk bij de klant, maar daar heb je buiten goed advies geen controle over.

Ik ben erg benieuwd naar jullie ervaringen of oplossingen.

Alvast bedankt.

Mvg,

Dennis

[Jesperw]

Wij scannen ook on-ftp-upload. Veel meer kun je niet doen denk ik, behalve inderdaad goed informeren.

[Japje]

scannen tijdens upload, eventueel scannen na upload, scannen van je /var/www en alles wat je vind netjes lijstjes van maken en klant van domein over informeren. Zorgen voor goede FAQ items over beveiliging van gegevens. Zorgen dat je support medewerkers weten wat ze moeten vertellen als een klant besmet is.

Meestal worden de ftp gegevens door virussen en trojans van hun pc gevist. De gedachte die me net binnen schiet is of ook scp/sftp programmas hier vatbaar voor zijn.. just a thought :P

[ARKO]

Wij scannen ook alle FTP uploads, maar of deze het onderschept weet ik niet zeker. We hebben er nog geen last van gehad, maar ben wel erg benieuwd of het te testen valt.

Iemand een tut om hier een test omgeving van te maken?

[Pur]

Wij scannen ook alle FTP uploads, maar of deze het onderschept weet ik niet zeker. We hebben er nog geen last van gehad, maar ben wel erg benieuwd of het te testen valt.

Iemand een tut om hier een test omgeving van te maken?

Kun je dat niet gewoon testen met het eicar "virus" ?

[ARKO]

Bedankt, ga het zo eens testen op een VM.

[ichosting]

Dit is inderdaad een steeds vaker voorkomend probleem.

Nieuwste methode is door via een iframe een perl script te uploaden, deze te gebruiken om te spammen en vervolgens het script weer te verwijderen.

Dit gebeurt voornamelijk via accounts welke " gehackt" zijn doordat de pc van de gebruiker een keylogger geïnstalleerd heeft/had.

Beste methode is dus om inderdaad goed na te gaan of je vreemde ftp logins tegen komt (vaak van heel veel verschillende ip adressen) op 1 account. Klant op de hoogte brengen en de pc laten schoonmaken. Daarna al zijn Ftp wachtwoorden wijzigen.

Het houd ons weer van de straat zal ik maar zeggen

[Jesperw]

Dat iframe verhaal is met een on-ftp-upload scanner wel af te vangen, maar snelle uploads van scripts met mailfunctie die spammen is al een stuk lastiger.

[dennis1309]

Beste Whters,

Bedankt voor de feedback.
Het blijft een vervelend verhaal.
Vanavond was het weer raak.

Wij zitten nu al preventief via ssh te kijken welke users er op ftp zitten met het commando last -a | less

Dit werkt wel goed.

Ik hoor graag of er nog andere oplossingen zijn om dit soort dingen beter in de gaten te houden.

Alvast bedankt.

Mvg,

Dennis

[Pur]

Proftpd met mod_clamav installeren? Lijkt me wat pragmatischer dan het handmatig in de gaten te houden.

[ichosting]

Dat iframe verhaal is met een on-ftp-upload scanner wel af te vangen, maar snelle uploads van scripts met mailfunctie die spammen is al een stuk lastiger.

Welke gebruiken jullie hiervoor?

[mikeh]

scp / winscp / ssh + keys, geen gezeik meer met passwoordjes.

[davinci]

scp / winscp / ssh + keys, geen gezeik meer met passwoordjes.

Leg jij het ''de buurman met zijn hobby-konijnen-site" uit?

[mikeh]

Been there, done that. Zelfs mijn familie (daar vallen ook 75+ers onder) maakt gebruik van ssh-keys + winscp om hun content op hun websites te krijgen