Foutje bedankt ... Site gehacked .. Ehh oh nee.. Toch niet ...

[Rubra]

Vandaag kreeg mijn broer een dringende email bij zijn hoster vandaan ... Zijn site was waarschijnlijk gehacked en er waren serieuse shell exec files gevonden op zijn hosting account ...

Alles dus meteen serieus nagelopen, niets kunnen vinden, maar toch alles qua wachtwoorden weer even aangetrokken en ge-update waar mogelijk, ondanks dat we dit toch al regelmatig doen ...

En een paar uur later het volgende mailtje ...

Beste klant,

Ons automatische detectiesysteem voor lekken in PHP-scripts heeft vandaag onterecht bestanden aangepast op uw pakket. Vanwege een menselijke fout zijn alle lege bestanden per abuis aangezien voor gevaarlijk, en daardoor verwijderd. Wij bieden hiervoor onze excuses aan. Inmiddels zijn alle verwijderde bestanden weer hersteld in originele staat. 

Vanochtend heeft u ook een e-mail ontvangen over de aanwezigheid van deze kwaadaardige bestanden van het type "Generic ShellExec shell". Deze e-mail is onterecht verstuurd en u kunt deze negeren. Er is waarschijnlijk geen sprake van een gestolen wachtwoord of beveiligingslek en er is geen noodzaak om naar aanleiding van dit incident uw gehele pakket na te lopen.

Mochten er nog vragen zijn over dit incident, neemt u dan gerust contact op met onze helpdesk via support@hoster.nl. We zullen ons best doen u zo snel mogelijk te woord te staan.

Nogmaals onze excuses voor enig ongemak 

Anyway .. Een zucht .. voor deze late 1 april grap en blij dat er dus niets aan de hand was .. En een zucht dat ze dit niet eerst getest hebben voordat ze het in productie probeerde ...

[Rubra]

Bugger, verkeerde sectie. Gaarne ff moven naar de lounge ..

[Yourwebhoster]

Vervelend maar ik ben wel benieuwd hoe die detectie van hun werkt md5sum ofzo of greppen naar exec enzo....

[Rubra]

Waarschijnlijk doen ze een file check naar bep. Shell commando's.

Ik heb zo iets ook gezien voor asp by IS, die hadden scripts die resource spilling ( zoals databse connecties openen, maar niet sluiten) opspoorde ..

[SmilieBG]

Ik snap dat het voor jullie erg vervelend was en wellicht ook frustrerend om door zoiets te moeten gaan; echter, in deze geval lijkt mij toch beter dat het gelukkig vals alarm was. Aan andere kant, je weet ook dat je provider regelmatig e.e.a. controleert wat toch wat meer vertrouwen geeft. Enne, fouten maken is menselijk en niet te voorkomen helaas.

[Spyder01]

Wij draaien ook Malware Detect, uitermate handig, al moet je er toch het nodige aan sleutelen om niet al die valse meldingen te krijgen. Maar als ik kijk dat we per nacht toch over verschillende servers een aantal shells, exploits en dergelijke vinden dan is dat echt ideaal. Zo kun je ook snel achterhalen dan 85% van de rommel in accounts met Joomla zit en 15% in WordPress sites die niet geupdate worden.

Maar dingen automatisch laten verwijderen is niet echt verstandig te noemen, hopelijk heeft de betreffende hoster zich dat inmiddels ook goed beseft.

[PimEffting]

Spyder01, welke software gebruik je voor malware detectie?
We hebben zelf oldscriptfinder draaien om oude scripts op te duiken.
Maar dat is natuurlijk niet echt malware detectie...

[dennis0162]

Waarschijnlijk deze: http://www.rfxn.com/projects/linux-malware-detect/

[The-BosS]

Spyder01, welke software gebruik je voor malware detectie?
We hebben zelf oldscriptfinder draaien om oude scripts op te duiken.
Maar dat is natuurlijk niet echt malware detectie...

Ik heb "Linux Malware Detect" (http://www.rfxn.com/projects/linux-malware-detect/) draaien, het is open source en werkt aan de hand van md5 signatures en anti-virus database hashes (clamav). Daarnaast heb ik ook nog een paar andere toolkits zoals rkhunter etc, en zelf geschreven scripts die php execution time melden en background script killed als die langer dan x tijd draaid.

Edit: me naamgenoot was me net iets vlugger af met typen.

[Spyder01]

Waarschijnlijk deze: http://www.rfxn.com/projects/linux-malware-detect/

Correct, maar wel met wat eigen aanpassingen om het af te maken.
Daarnaast nog rkhunter voor het dubbel checken.

[Unflux]

Naar de malware detection op MD5 en Signature basis kun je ook het volgende gebruiken: https://sourceforge.net/projects/smscanner/ ( Simple Server Malware Scanner ). Dit scant niet alleen virussen zoals de malware scanner doet, maar het scanned ook naar geïnfecteerde bestanden.

[Keizer]

Naar de malware detection op MD5 en Signature basis kun je ook het volgende gebruiken: https://sourceforge.net/projects/smscanner/ ( Simple Server Malware Scanner ). Dit scant niet alleen virussen zoals de malware scanner doet, maar het scanned ook naar geïnfecteerde bestanden.

Heeft je script ook FreeBSD ondersteuning?

[SebastiaanStok]

Let wel op met PHP eval base64 scripts, niet alles een virus er zijn ook genoeg scripts welke deze manier gebruiken om scripts te beschermen.
Dat het wel zo makkelijk te kraken door een memory dump te maken van de stack heap en weet ik het allemaal vergeten ze dan even

Wat ik erg onhandig vind is om een 'twijfel' bestand gelijk in quarantaine te plaatsen, je kan beter een melding sturen en dan na x uur geen reactie als nog in quarantaine plaatsen. Dan sloop je te minste geen websites en voorkom je false postive bij twijfel gevallen

Maak onderscheid tussen een shell die na een hack is geplaatst en een virus dat de bezoeker direct infecteert.

[golden]

Wel voordeel dat je nu kan zien dat ze actief bezig zijn met het opsporen van risico's.