JS Code aangepast door russische site

[dxta]

Beste tweakers,

Terwijl ik vanochtend de Google Analytics van mijn site aan het checken was, zag ik dat gisteren een flinke daling was in het aantal bezoekers. Benieuwd naar de oorzaak, opende ik de site en zag tot mijn schrik een groot rood "Malware detected" scherm in Chrome verschijnen.

Na wat onderzoek bleken alle javascript files aangepast te zijn met een stuk code wat probeerde malware te installeren vanaf een dubieuze russische site (link op aanvraag beschikbaar). Ik heb de code vanochtend verwijderd en een deel van het risico afgevangen door gebruik te maken van JS includes via CDN hosting, maar ik moet uiteraard ook een deel van mijn JS zelf hosten.

Mijn vraag is dus: op welke manieren is deze code in mijn bestanden terecht gekomen en welke stappen kan ik nemen om te zorgen dat dit niet meer gebeurd? Alle tips zijn welkom

[Janoz]

De code is waarschijnlijk op 1 van de volgende manieren in je site terecht gekomen:

1. Je ftp of scp gegevens zijn uitgelekt (door bijvoorbeeld een trojan die de settings van je fpt app uitlezen)
2. Brakke shared hosting icm een andere klant die situatie 1 had
3. Brakke software (security flaw in een gebruikte php app icm world writable bestanden op de server oid)

Wat je iig moet doen is je wachtwoorden veranderen, je eigen computer en die van anderen die ook kunnen uploaden naar die site scannen en bij je hoster om opheldering vragen.

[KeRsTmAnNeKe]

Waarschijnlijk iets op een pc die ftp toegang heeft. Alleen het index.php/index.html bestand aangepast?

Tijdje geleden ook zoiets gehad, op 3 accounts die allemaal zelfde pass hadden op dezelfde server... Loop even alle index.php/html bestanden na die je erop hebt staan.

En loop alle pc's die toegang hebben even na met een virusscanner

[martijnve]

Wat Janoz zegt.

Je js van een cdn trekken is om allerlei redenen leuk, maar je security ga je er niet veel mee helpen want iemand die je js-files aan kan passen kan waarschijnlijk ook gewoon je html-files aanpassen.

[Verwijderd]

Vraagje dat enigszins aan de zijlijn van dit staat: wat nu als CDN hosted javascript bestanden die veel gebruikt worden (neem jquery) op de een of andere manier worden aangetast, wat voor groot probleem heb je dan?

[noes]

Verwijderd schreef op dinsdag 03 juli 2012 @ 10:52:
Vraagje dat enigszins aan de zijlijn van dit staat: wat nu als CDN hosted javascript bestanden die veel gebruikt worden (neem jquery) op de een of andere manier worden aangetast, wat voor groot probleem heb je dan?

Groot. Héél veel websites zullen dan niet meer werken, dus dan moet je weer naar de bibliotheek voor je boeken

Dus in de praktijk, mocht het gebeuren, zal het ook snel opgelost zijn. Veel users zullen de downtime trouwens niet merken, zij hebben toch de JS al binnen met een bijna oneindige expires-header.

[R4gnax]

noes schreef op dinsdag 03 juli 2012 @ 11:59:
[...]
Dus in de praktijk, mocht het gebeuren, zal het ook snel opgelost zijn. Veel users zullen de downtime trouwens niet merken, zij hebben toch de JS al binnen met een bijna oneindige expires-header.

Wat dus ook kan betekenen dat sommige ongelukkige en onwetende gebruikers voor 'bijna oneindig' het bootje in gaan.