Website offline gehaald i.v.m. phishing

[the Runningman]

De weblog van een vriend van mij is offline gehaald in verband met Phising. Volgens zijn provider zijn mensen naar een bepaalde locatie op zijn website 'gelokt' om de welbekende gegevens af te troggelen.

Nou heeft zijn provider zonder verdere aankondiging 8 december de site van het internet gehaald en daarna een mail gestuurd met de mededeling dat dit gedaan is. De website is echter niet 'offline' gehaald, maar gewoon in zijn geheel verwijderd. Daarmee is hij dus ook alle logs etc kwijt.

Dit terwijl in de mail heel duidelijk wordt verteld WAAR de mensen heen gelokt worden, dus het programma wat er dan op die server staat had ook alleen verwijderd kunnen worden.

Mijn vraag is, MAG dit zomaar, een complete site verwijderen door je hostingprovider en wat kun je hier aan doen om dit te voorkomen. Is het dan zo dat zijn website 'gekraakt' is en gebeurd dat vaker? Of zal het zo kunnen zijn dat 'ze' (de boze stoute mannen) via zijn computer aan de inlognaam en ww van zijn site zijn gekomen.

Als laatste, wat kun je hier tegen doen? Hoe kun je zelf uitvinden dat zoiets gebeurd is op je website en hoe kun je het voorkomen.

[DiedX]

Check hiervoor de algemene voorwaarden van je provider. Zelf was ik minder rigoreus te werk gegaan, maar wie ben ik

Inzake de exploit zelf zijn er 3 mogelijkheden:

• Je vriend heeft het doelbewust gedaan
• Niet up-to-date software. Patchen van Joomla, Mambo, Wordpress and so on
• Te makkelijk wachtwoord.

Vooral in het tweede en derde geval: eigen schuld, dikke bult. Helaas werkt de provider nu niet bepaald mee om dit te analyseren. Een .htaccess op de goede plek, of een wachtwoord veranderen was een stuk subtieler geweest.

Ik neem aan dat je vriend wel een backup heeft?

[the Runningman]

Euhm, nou, dat is nou juist zo irritant, die heeft hij dus niet. Beetje dom inderdaad, maar goed. Ik moet zeggen dat ik bij mezelf dat ook niet heb, dus is wel even een goede waarschuwing...

[HenkEisDS]

Ik heb ongeveer hetzelfde meegemaakt. Alleen heeft mijn hoster toen alle rechten op mappen en bestanden op 000 gezet. Dat is best netjes dus. Wat ik minder netjes vind is dat ik toen niet de mogelijkheid had om de corrupte bestanden te verwijderen. De eigenaar hiervan was de dader. Dit waren ze even vergeten recht te zetten.

[McKaamos]

Sja, websites worden wel eens gehackt.
Vooral lekke PHP scripts waardoor je een script of SQL query kan injecteren of zelfs een cross site scripting attack kan doen zijn vaak dader.
Zeker als je erg bekende software gebruikt (Joomla, Mambo, PHPBB, Wordpress, Drupal etc) ben je al snel doelwit. Die software wordt steeds doorontwikkeld en er zijn regelmatig updates, die je ook echt moet doen gezien er steeds weer nieuwe hacks worden gevonden. Oude versie => vragen om je site gehacked te krijgen.

Anyway, tis niet netjes dat je hele site ge-delete is. Dat had subtieler gekund met een .htaccess, filerights aanpassing of uitcommenten van de virtualhost.

Verder natuurlijk altijd backups maken, en je kan altijd vragen of je webhost toevallig een backup heeft.

[the Runningman]

Ja, het betrof dus wel een Joomla account.

Persoonlijk ben ik spontaan erg blij dat bij mij alles loopt via ExpressionEngine

Bedankt voor alle toelichting, ben weer wat wijzer geworden.

[Marzman]

Alleen de betreffende link weghalen werkt niet omdat het lek er dan nog steeds is en het teruggezet kan worden. Alleen zijn er wel andere oplossing te bedenken dan alles weggooien, bijvoorbeeld de vhost uitschakelen tot het opgelost is.

HenkEisDS schreef op donderdag 18 december 2008 @ 17:12:
Ik heb ongeveer hetzelfde meegemaakt. Alleen heeft mijn hoster toen alle rechten op mappen en bestanden op 000 gezet. Dat is best netjes dus. Wat ik minder netjes vind is dat ik toen niet de mogelijkheid had om de corrupte bestanden te verwijderen. De eigenaar hiervan was de dader. Dit waren ze even vergeten recht te zetten.

De eigenaar hiervan was waarschijnlijk www-data. Ze kunnen er dus wel afgehaald worden, maar alleen via een script. Zo zijn ze er ook opgezet.