Onderwerp: Website (en misschien meer) van WHMCS gehacked! [UPDATE!]

Dat HostGator bij de wachtwoord vergeten functie een mail stuurt na het invullen van het juiste adres om door middel van een link o.i.d. het wachtwoord te resetten lijkt me niet zo raar.
Dat de aanvallers bij de mailbox kunnen is natuurlijk niet de fout / het probleem van HostGator.

Dat is niet hoe het gegaan is:

The person was able to impersonate myself with our web hosting company, and provide correct answers to their verification questions. And thereby gain access to our client account with the host, and ultimately change the email and then request a mailing of the access details.

Oorspronkelijk geplaatst door drex

Onzin want dit soort gevoelige gegevens om dit soort zaken te kunnen uithalen, ga je toch zo maar niet verstrekken! Als jij dit wel doet dan zou ik nog maar eens heel goed bij jezelf te raden gaan.

Slaat uiteraard nergens op, als een klant zich kan identificeren onder het 'account' van WHMCS of via het bij de provider bekende e-mail adres dan mag je de conclusie trekken dat het daadwerkelijk om de klant gaat. Het is aan de klant om zijn account of andere toegang tot zijn producten en diensten te voorzien van een sterk wachtwoord, of in dit geval een niet door derden te raden antwoord op de geheime vraag.

De keuze voor een geheime vraag in het klanten systeem is wellicht wel iets wat je zou kunnen heroverwegen, e-mail validatie bij een password reset lijkt me zelf een stuk veiliger.

Als whmcs zo'n groot bedrijf is waarom hebben ze dan geen eigen servers in eigenbeheer waar enkel zij zelf bij kunnen ?
Dan had je problemen als dit al kunnen voorkomen.

Omdat ze geen serverbeheerders zijn? De download van hun cpanel root map is nog geen 2gb. Daar heb je geen losse server voor nodig

Zo te horen heeft WHMCS slechts een / of een handvol servers bij HostGator; dat is niet spannend 'groot' klant, dus voor HostGator wellicht dertien in een dozijn. Zelfs als ze een hele rack hebben is dat alsnog voor meeste DC's aan de kleine kant.

Ik vind dit meer 'schuld' van WHMCS zelf. Met name als je ziet hoe ze met code / DB gegevens omgaan - dan trek ik dezelfde conclusie naar rest van de 'beveiliging' en dan is wel duidelijk hoe zoiets kon gebeuren.

HostGator heeft naar mijn mening voldoende checks uitgevoerd om vast te stellen of klant is wie hij zei dat ie is. Als ik zelf WHMCS eigenaar was, dan had ik zeker vele malen betere afspraken met mijn DC. In iedere geval, geen kritische zaken aanpassen zonder mijn expliciet toestemming middels vooraf afgesproken methode.

Ten slotte, vroeg ik me ook af - indien servers managed zijn, waarom zou HostGator dergelijke gegevens überhaupt verstrekken?! :S

Waar staat dat men onder een geldig e-mail adres HostGator heeft gecontact? Zover ik weet is het puur op geheime vragen / algemene info gegaan.

En de grootte in GBs van een website zegt niets over of je wel of niet een eigen omgeving moet hebben. WHMCS heeft nu zelf al aangegeven een eigen platform in te richten. Lijkt me niet meer dan terecht. Je bent een bekend bedrijf met veel klanten & info, daar gaat het om.

Oorspronkelijk geplaatst door Arieh

Waar staat dat men onder een geldig e-mail adres HostGator heeft gecontact? Zover ik weet is het puur op geheime vragen / algemene info gegaan.

Klopt. Nergens wordt vermeld dat dit via een e-mailcorrespondentie heeft plaatsgevonden. Uit het uitgebrachte bericht van WHMCS kan ik concluderen dat de gegevens van het account (WHMCS) op het panel van HostGator via social engineering buit zijn gemaakt (missschien via de live support?). Daarna hebben ze in het account de email aangepast en via het account systeem van HostGator een aanvraag gedaan om access te krijgen tot de server.

Oorspronkelijk geplaatst door Arieh

En de grootte in GBs van een website zegt niets over of je wel of niet een eigen omgeving moet hebben. WHMCS heeft nu zelf al aangegeven een eigen platform in te richten. Lijkt me niet meer dan terecht. Je bent een bekend bedrijf met veel klanten & info, daar gaat het om.

Geen idee waar je dat vandaan haalt. Nergens heb ik gezien dat ze een eigen platform gaan inrichten? Ik zie alleen dat ze over gaan stappen naar een ander platform en daarbij natuurlijk rekening gaan houden met de gebeurtenissen welke voor de leaks en downtime hebben gezorgd. Daarbij zullen ze zorgen voor een betere hosting infrastructuur. Of ze dat helemaal zelf gaan doen en kunnen, is maar de vraag. Zie de quote hieronder.

We know we've let you down. Although the attack yesterday was not directly due to any lapses in the security in place on either our server or WHMCS itself, we realise that we could, and should, have had a more robust hosting infrastructure in place. Plans have already been put in motion for a new multi-server hosting infrastructure to be setup and migrated to.

Oorspronkelijk geplaatst door Arieh

Waar staat dat men onder een geldig e-mail adres HostGator heeft gecontact? Zover ik weet is het puur op geheime vragen / algemene info gegaan.

Denk dat die suggestie komt door het eerste bericht van Matt.


http://www.webhostingtalk.com/showpo...6&postcount=56

Hi Guys,

As you've seen we have unfortunately become the victim of a hack just a little over an hour ago.

So far early indications are that they were able to compromise my email, and subsequently impersonate myself with HostGator staff. In response to those saying it's an unsecured box, we use a fully managed service from HostGator for our website, in connection with McAfee Secure.

We'll post more updates as soon as we have them.

Matt

Vraag is of dat een foute eerste aanname was, of dat het hem handiger leek in latere berichtgeving een stukje van het verhaal buiten beschouwing te laten.
Zou daarom een beetje voorzichtig zijn met partijen gaan beschuldigen.

Oorspronkelijk geplaatst door WebMeso

Geen idee waar je dat vandaan haalt. Nergens heb ik gezien dat ze een eigen platform gaan inrichten?

Afkomstig van blog.whmcs.com:

Plans have already been put in motion for a new multi-server hosting infrastructure to be setup and migrated to.

Oorspronkelijk geplaatst door WebMeso

Geen idee waar je dat vandaan haalt. Nergens heb ik gezien dat ze een eigen platform gaan inrichten? Ik zie alleen dat ze over gaan stappen naar een ander platform en daarbij natuurlijk rekening gaan houden met de gebeurtenissen welke voor de leaks en downtime hebben gezorgd. Daarbij zullen ze zorgen voor een betere hosting infrastructuur. Of ze dat helemaal zelf gaan doen en kunnen, is maar de vraag. Zie de quote hieronder.

Voeg het woordje laten aan m'n zin toe en hij klopt altijd Het ging er mij om dat het te eenvoudig was toegang te krijgen tot alle gegevens. Bij de nieuwe omgeving zal dit niet het geval zijn neem ik aan.

Maar, het is inderdaad nu de vraag of Matt's e-mail niet de bron is. Hij claimt in het latere bericht wel dat het e-mail adres bij HG gewijzigd is, en dat toen de gegevens zijn opgevraagd. Als dit niet klopt dan lijkt me dat HG dit wel kenbaar zal maken.

Oorspronkelijk geplaatst door Arieh

Voeg het woordje laten aan m'n zin toe en hij klopt altijd Het ging er mij om dat het te eenvoudig was toegang te krijgen tot alle gegevens. Bij de nieuwe omgeving zal dit niet het geval zijn neem ik aan.

Maar, het is inderdaad nu de vraag of Matt's e-mail niet de bron is. Hij claimt in het latere bericht wel dat het e-mail adres bij HG gewijzigd is, en dat toen de gegevens zijn opgevraagd. Als dit niet klopt dan lijkt me dat HG dit wel kenbaar zal maken.

Zoals ik het lees vanuit hun blog post ( http://blog.whmcs.com/?t=47660 )

The person was able to impersonate myself with our web hosting company, and provide correct answers to their verification questions. And thereby gain access to our client account with the host, and ultimately change the email and then request a mailing of the access details.

Zou Matt zijn e-mail account niet eens gebruikt zijn maar gewoon contact opgenomen zijn met HG en daarna toegang verkregen hebben.

Oorspronkelijk geplaatst door Axel Polfliet

Slaat uiteraard nergens op, als een klant zich kan identificeren onder het 'account' van WHMCS of via het bij de provider bekende e-mail adres dan mag je de conclusie trekken dat het daadwerkelijk om de klant gaat. Het is aan de klant om zijn account of andere toegang tot zijn producten en diensten te voorzien van een sterk wachtwoord, of in dit geval een niet door derden te raden antwoord op de geheime vraag.

De keuze voor een geheime vraag in het klanten systeem is wellicht wel iets wat je zou kunnen heroverwegen, e-mail validatie bij een password reset lijkt me zelf een stuk veiliger.

Je gaat zo maar niet de login gegevens verstrekken op de wijze zoals dat nu is gebeurt bij deze partij.....blijkbaar denk jij hier anders over en doe je dit maar af met "Slaat nergens op"? Jij bent dus een partij waar ik dus nooit geen zaken mee zou doen.

De klopjacht op de dader is in ieder geval al gaande: http://whmcs-hacker.soup.io/

Tja, als iemand zijn e-mailadres nooit update en vervolgens aan de lijn hangt: ik ben gegevens nodig maar ik heb verzuimd mijn mailadres up to date te houden en de veiligheidsvragen worden netjes beantwoord... Dat zie je vaker, in dit geval kunnen ze dus beter een kopie paspoort bij het klant worden vragen en deze bij zo`n incident vergelijken met een nieuwe kopie die je de klant laat sturen.

Maar dan schop je ook mensen tegen het verkeerde been. Dus eigenlijk kun je het nooit goed doen als je het zo bekijkt.