Onderwerp: pas op voor spam mail van "directadmin" om te updaten

Net een mail gekregen van Directadmin

------------------

In the last 24 hours an e-mail was sent to clients with the subject: "DirectAdmin Client Message." This message claimed there was a serious DirectAdmin security issue and included a link to a phishing website.

We apologize to all our clients because this was a result of our server being compromised. Please DELETE the phishing e-mail and run a virus scanner if you clicked on the link. Most people were not exposed to the phishing site because it was taken down very quickly. For this reason you may have seen a 404 error only.

First and foremost, your billing information remains 100% safe. We store no financial information on our server. In addition, we use a merchant gateway that restricts us, even as owners, from viewing your credit card information. Secondly, there is no security issue with the latest version of DirectAdmin. We have no reason to belive that DirectAdmin or any related software is vulnerable to attack. There are thousands of DirectAdmin servers and no reports of any being compromised.

Please note that we encrypt ALL passwords; for example, any password generated (e.g. client account password) and any password you provide (e.g. server password on the order form). Although cracking encrypted passwords is unlikely, changing your password is the best way to guarantee 100% security. Aside from that, there is nothing else you need to do as a customer. Your DirectAdmin server is not open to any new vulnerabilities.

We sincerely apologize and take responsibility for this incident. If you require more specific information please contact me at mark@jbmc-software.com for a personal response, or you can use our regular support@directadmin.com address. I'm available for addressing specific questions and concerns.

Mark
JBMC Software

En het verhaal gaat door:

http://www.webhostingtalk.com/showthread.php?t=1052123

Dear Sir,

Attached is a list of the copyrighted material you are infriging on.
We are the proprietors of all copyrighted material that is being fringed upon on your companies webste.
We have reserved all rights regarding these trademarked files.
Permission was neither asked nor granted to reproduce our copyrighted material, therefore what your company is doing constitutes infringement of our rights. In terms of the Copyright Statutes, we are entitled to an injunction against your continued infringement, as well as to recover damages from you for the loss we have suffered as a result of your infringing conduct.

In the circumstances, we demand that you immediately:

1. remove all infringing content and notify us in writing that you have done so;

2. pay a licensing fee in the amount of 160,000 USD;

3. immediately cease the use and distribution of copyrighted material;

We await to hear from you by.

This is written without prejudice to our rights, all of which are hereby expressly reserved.

Yours faithfully,
CEO Andrew Webber
www.arizonakey.com

Ook gehad, vooral leuk dat er geen bijlage aan hing.

Heb deze mail ook gehad in tweevoud. Eentje met bijlage en eentje zonder. Las het als eerste op me telefoon in de auto en kon dus de bijlage niet zien, ik dacht welke klant heeft nu weer wat uitgespookt. Eenmaal thuis zag ik de bijlage waarin ik maar niet meer verder heb geklikt, was meteen duidelijk dat het nep was.

Hier ook gehad...

Komt van een server in Nedzone in het rack van Ageo BVBA (belgisch bedrijf) op een directadmin host.

De andere van een australische host.

Oorspronkelijk geplaatst door Tim.Bracquez

Hier ook gehad...

Komt van een server in Nedzone in het rack van Ageo BVBA (belgisch bedrijf) op een directadmin host.

De andere van een australische host.

Zou er dan toch een security lek zijn in DA, of is het gewoon toeval?

Oorspronkelijk geplaatst door pierce

Zou er dan toch een security lek zijn in DA, of is het gewoon toeval?

Laat ons hopen dat het toeval hier. Hier nu toch alles goed in het oog aan het houden. In ieder geval, we staan op een spamlijstje nu

Hier ook het zelfde mailtje gekregen
1e keer zonder bijlage 2e keer mat een .doc bijlage
Waar een hyperlink in zat en die stuurde door
Naar een backdoor virus

Wat me wel opvalt en dat houd in dat diegene die dit rondstuurt in ieder geval affiniteit met de hosting branche heeft. Eerst security update, en vervolgens copyright violation

Typische hosting issues ;-)

Vandaag ook die copyright infringement e-mail ontvangen.

Hier paar headertjes

Received: from piter3.dns-rus.net ([91.219.194.3])
by xxxxxx.be with esmtps (TLSv1:AES256-SHA:256)
(Exim 4.67)
(envelope-from <kinobook@piter3.dns-rus.net>)
id 1QUBmZ-0004QN-Dt
for xxxxxx@xxxxxx.be; Wed, 08 Jun 2011 07:58:23 +0200
Received: from kinobook by piter3.dns-rus.net with local (Exim 4.69)
(envelope-from <kinobook@piter3.dns-rus.net>)
id 1QUBlz-0001YP-3b
for xxxxxx@xxxxxx.be; Wed, 08 Jun 2011 09:57:47 +0400
To: xxxxxx@xxxxxx.be
Subject: Cease copyright infrigement!
X-PHP-Script: creativno.net/wp-content/plugins/sendme.php for 82.195.232.218, 82.195.232.218

Mail is verstuurd via een wordpress plugin. Die piter3 server blijkt trouwens een cPanel server te zijn, dus zal geen lek in DA zelf zijn. Het zijn dus wsl enkel de contactgegevens die ze misbruiken.

//edit: die 82.195.232.218 is een dedicated server in Zwitserland.

Haha, die heb ik ook gehad... Zat vanochtend al rechtop in bed toen ik dit las toen ik mijn mail op mijn mobiel binnencheckte. Vond het al direct opvallend (licentiekosten van $160.000; yeah right)....

AVG sloeg meteen alarm toen ik die copyright-pagina opende...
Nu ben ik even virussen aan het scannen, maar ik geloof dat die er niet zijn.

Ik kan me eigenlijk niet herinneren dat ik een account bij DirectAdmin heb? Wel een forumaccount.....

Heb hem vandaag ook gekregen, maar zat al direct in mijn spam folder . Headers waren dezelfde als van Cakkie, misschien zijn ze de Directadmin lijst in stukken aan het opdelen en vanaf verschillende servers te verzenden.

Wat ik wel al gemerkt heb de laatste tijd is dat de firewall overuren moet draaien ik zie veel meer attacks dan voorheen, zowel op ssh als <ip>/webmail, <ip>/roundcube, etc. Nu ik heb geen webmail van de standaard directadmin draaien dus dat valt dan wel redelijk op. Zijn er nog WHT-ers die een verhoogde attack rate (dan het gemiddelde) op DA servers merken?

De laatste weken groeien de logfiles van poort 22 hier ook exponentieel inderdaad, webmail is vooralsnog niet echt meer of minder dan normaal. Ook de copyright emailtjes al meerdere malen op verschillende emailadressen gekregen, opvallend dat ik die gisteren ook op m'n privémail kreeg, die ik - behalve bij bol.com- voor zover ik weet nog nooit op internet heb opgegeven.

We hebben geen DA, maar merken ook een verhoogde hoeveelheid aan "Brute Force Attacks" (FTP/POP3/IMAP/SMTP), dus dit is zuiver toeval lijkt me. SSH draait bij ons op een alternatieve poort. Wel zo rustig...