Website geblokkeerd door hoster spam

[Gangster93]

Sinds vanmiddag is onze bedrijfswebsite geblokkeerd, wegens het versturen van spam. Helaas is het bedrijf dat onze website beheerd failliet verklaart. Sowieso moeten we opzoek naar een nieuw bedrijf voor onze website maar misschien vereist onderstaande een kleine ingreep waardoor dat even kan wachten.

Onze website draait op drupal en heeft een aantal modules geïnstalleerd waaronder ctools.

Onderstaand bericht hebben we ontvangen van de hosting partij:

Beste klant,

Wegens klachten over spam op ons webhosting platform hebben wij ons helaas genoodzaakt gezien om je website ***************.nl te blokkeren. Dit hebben wij gedaan om de betrouwbaarheid van onze servers te kunnen waarborgen. Neem contact op met de beheerder van je website, of onderneem de stappen in dit bericht indien je dit zelf bent.

Wij verzoeken je met spoed naar de oorzaak te kijken van de spam mails die zijn verstuurd door middel van dit script/deze scripts:

- /www/sites/all/modules/ctools/plugins/content_types/token/.inc58.php

Tot die tijd kun je de bestanden benaderen door gebruik te maken van de Test-URL in je FTP-programma. De Test-URL kun je vinden door in te loggen op je controlepaneel op onze website. Hiervoor kun je de volgende instructies gebruiken:

1. Log in op je controlepaneel via https://www.transip.nl/cp/
2. Klik op "Domein & Hosting"
3. Klik op je hostingpakket onder het betreffende domein
4. Klik op "Webruimte"
5. Gebruik de URL achter "Test-URL" in je FTP programma in de volgende vorm: ftp.domein.ex.webhosting#.transurl.nl

Verder adviseren wij je de nieuwste versie van het door jou gebruikte CMS-systeem te gebruiken, indien van toepassing.

Zodra je ons aangeeft het probleem verholpen te hebben kunnen wij je website weer deblokkeren. Je kunt hiervoor contact opnemen middels een bericht via het online ticket-systeem in het controlepaneel op onze website dan wel reageren op dit bericht.

Voor nu hoop ik je in elk geval voldoende te hebben geïnformeerd en ik wil je ondanks de vervelende inhoud van dit bericht graag nog een prettige dag wensen.

Met vriendelijke groet,
Arjan van den Berg
TransIP BV

De website heeft de afgelopen 2 jaar zonder enige problemen gedraaid en in die tussentijd is er aan de zijde van drupal niks veranderd, behalve op z'n tijd een module update.
Wie heeft een oplossing voor bovenstaand probleem?

[418O2]

Drupal echt updaten? Standaard CMS'en worden altijd goed uitgeplozen op lekken en vaak misbruikt. Kans is groot dat je versie oud is en er veel exploits bekend zijn.

[Voor 78% gewijzigd door 418O2 op 29-10-2014 17:26]

[Douweegbertje]

Ik ga het gewoon kort houden.

Alle benodigde informatie staat daar, het staat heel mooi uitgelegd wat er aan de hand is.
Kun je dit niet, dan huur je iemand in die het wel kan.

[Gangster93]

418O2 schreef op woensdag 29 oktober 2014 @ 17:25:
Drupal echt updaten? Standaard CMS'en worden altijd goed uitgeplozen op lekken en vaak misbruikt. Kans is groot dat je versie oud is en er veel exploits bekend zijn.

De versie die is geïnstalleerd is Drupal 7.14. Het updaten van de drupal core is al eerder geprobeerd maar dat is niet mogelijk i.c.m. modules die niet samen werken met de nieuwere drupal versie.

[Saven]

Gangster93 schreef op woensdag 29 oktober 2014 @ 17:46:
[...]


De versie die is geïnstalleerd is Drupal 7.14. Het updaten van de drupal core is al eerder geprobeerd maar dat is niet mogelijk i.c.m. modules die niet samen werken met de nieuwere drupal versie.

En daar heb je mogelijk je probleem. Gezien het vage .php bestand gok ik dat iemand een remote file heeft geupload, kortom je installatie is besmet

[Gangster93]

Saven schreef op woensdag 29 oktober 2014 @ 17:49:
[...]

En daar heb je mogelijk je probleem. Gezien het vage .php bestand gok ik dat iemand een remote file heeft geupload, kortom je installatie is besmet

Dus omdat de installatie besmet is kunnen we de website niet updaten want ik had het meer over de compatibiliteit van modules en nieuwe drupal core versie.

Wat raden jullie aan om te doen?

[Weezer-DC]

Douweegbertje schreef op woensdag 29 oktober 2014 @ 17:28:
Ik ga het gewoon kort houden.

Alle benodigde informatie staat daar, het staat heel mooi uitgelegd wat er aan de hand is.
Kun je dit niet, dan huur je iemand in die het wel kan.

Dit

[Douweegbertje]

Saven schreef op woensdag 29 oktober 2014 @ 17:49:
[...]

En daar heb je mogelijk je probleem. Gezien het vage .php bestand gok ik dat iemand een remote file heeft geupload, kortom je installatie is besmet

Nee.
Dat bestand hoort bij de plugin. Wat er eigenlijk staat is dat er een probleem is bij token.inc op lijn 58.


Ik ga het gewoon nog een keer zeggen: huur iemand in die het wel snapt. Ik kan je zo de oplossing geven, alleen dat is niet zomaar 123 gebeurt. Wij weten maar de helft, we zien heel je source niet en ga zo maar door. Je negeerde ook mijn reactie, want tja dan moet je moeite doen.

Als mijn auto stuk is, ga ik ook niet op een forum vragen "wat moet ik doen". Nee, dan breng ik hem naar de garage. Hoewel het internet veel 'sneller' lijkt, gelden de zelfde regels nog. Dit is niet een één of andere div die verkeerd staat, of een rare exception wat je krijgt op een query waarbij je van alles hebt geprobeerd.

Wat je hebt is een outdated versie, allerlei plugins en geen kennis. Wat jij nu wilt is vrij lastig.

[Gangster93]

Douweegbertje schreef op woensdag 29 oktober 2014 @ 17:57:
[...]


Nee.
Dat bestand hoort bij de plugin. Wat er eigenlijk staat is dat er een probleem is bij token.inc op lijn 58.


Ik ga het gewoon nog een keer zeggen: huur iemand in die het wel snapt. Ik kan je zo de oplossing geven, alleen dat is niet zomaar 123 gebeurt. Wij weten maar de helft, we zien heel je source niet en ga zo maar door. Je negeerde ook mijn reactie, want tja dan moet je moeite doen.

Als mijn auto stuk is, ga ik ook niet op een forum vragen "wat moet ik doen". Nee, dan breng ik hem naar de garage. Hoewel het internet veel 'sneller' lijkt, gelden de zelfde regels nog. Dit is niet een één of andere div die verkeerd staat, of een rare exception wat je krijgt op een query waarbij je van alles hebt geprobeerd.

Wat je hebt is een outdated versie, allerlei plugins en geen kennis. Wat jij nu wilt is vrij lastig.

Ik reageerde niet op jou antwoord omdat ik daar niks mee kan en hoopte op een antwoord waar ik wil iets mee kan op dit moment. Ik heb ook al aangegeven dat we opzoek moeten naar een nieuwe beheerder voor de website.

Als er iets mis is met mijn auto zoals bijvoorbeeld de koplamp die stuk is dan probeer ik die zelf te repareren. Ik hoef daar niet meteen voor naar de garage

[Douweegbertje]

Ok, nogmaals: je koplamp is niet stuk, je auto valt uit elkaar gaat niet meer rijden.

De ctools versie die jij hebt bevat zoveel lekken, dat het al geen nut heeft om iets te fixen zonder te upgraden omdat je hier dan morgen weer zit.

Je drupal versie bevat ook 25 vulns. dus dat is ook al kansloos om te gaan fixen zonder een update, want; morgen ben je weer de sjaak.

Wat je moet doen is gaan vinden waar iets van een malafide bestand en/of code zit. Alles eruit slopen en gaan updaten. Hoe/wat/waar is een beetje specialistisch werkje en daar kan niemand hier antwoord op geven.

[Thralas]

De website heeft de afgelopen 2 jaar zonder enige problemen gedraaid en in die tussentijd is er aan de zijde van drupal niks veranderd

418O2 schreef op woensdag 29 oktober 2014 @ 17:25:
Drupal echt updaten? Standaard CMS'en worden altijd goed uitgeplozen op lekken en vaak misbruikt. Kans is groot dat je versie oud is en er veel exploits bekend zijn.

Ra-ra-ra welk low hanging fruit zou er hier gebruikt zijn?

Spoiler: SA-CORE-2014-005

En vergeet de plugins niet.

[i7Grendel]

Als het kan moet je je plugins ook updaten om met de laatste versie van je CMS te werken. Mocht dit niet mogelijk zijn, dan kun je zelf de plugin gaan updaten of een vervangende plugin zoeken. Als je een oude versie van je CMS blijft gebruiken kun je net zo goed de inloggegevens van je hostingaccount op je voorpagina zetten.

[TimDJ]

Zie ook: https://www.drupal.org/PSA-2014-003

Als je wilt herstellen zou ik ook aanraden om de module "hacked" te installeren. Die vergelijkt bestanden met het origineel van Drupal. Dan weet je waar mogelijk code ge-inject is.

Als je nog een werkende backup hebt zou je ook kunnen overwegen om tijdelijk een statische versie van de site te maken (bijvoorbeeld rippen via wget) en deze online te zetten totdat je een nieuwe site hebt laten ontwikkelen.

[Foamy]

Douweegbertje schreef op woensdag 29 oktober 2014 @ 17:57:
[...]


Nee.
Dat bestand hoort bij de plugin. Wat er eigenlijk staat is dat er een probleem is bij token.inc op lijn 58.

Nee.
- /www/sites/all/modules/ctools/plugins/content_types/token/.inc58.php
Wijst op een bestand genaamd .inc58.php. Door de . voor de bestandsnaam zal deze in veel standaard UNIX installaties niet direct worden weergegeven. Kortom: effectieve manier om het bestand voor de meeste huis tuin en keukengebruikers te verbergen.

Verder inderdaad wat alle posters hierboven zeggen: Zorg dat je Drupal gaat updaten. Een oude versie gebruiken is vragen om dit soort problemen. Als jou website/plugins/thema's/modules niet met een nieuwe versie werken, dan is het het tijd om een nieuwe site te schrijven. Anders zul je dit probleem nog heel wat vaker mee gaan maken....

edit:

Ow, en: nieuws: Drupal waarschuwt voor misbruik ernstig beveiligingslek
[quote]Elke Drupal-installatie die niet binnen zeven uur na het verschijnen van de patch op 15 oktober is bijgewerkt moet als gecompromitteerd worden beschouwd, waarschuwt het cms.[/quote]

[Voor 17% gewijzigd door Foamy op 30-10-2014 10:46]

[Gangster93]

Foamy schreef op donderdag 30 oktober 2014 @ 10:22:
[...]
Verder inderdaad wat alle posters hierboven zeggen: Zorg dat je Drupal gaat updaten. Een oude versie gebruiken is vragen om dit soort problemen. Als jou website/plugins/thema's/modules niet met een nieuwe versie werken, dan is het het tijd om een nieuwe site te schrijven. Anders zul je dit probleem nog heel wat vaker mee gaan maken....

edit:

Ow, en: nieuws: Drupal waarschuwt voor misbruik ernstig beveiligingslek
[quote]Elke Drupal-installatie die niet binnen zeven uur na het verschijnen van de patch op 15 oktober is bijgewerkt moet als gecompromitteerd worden beschouwd, waarschuwt het cms.[/quote]

Het is aardig dat de meeste mensen roepen laat een nieuwe website ontwikkelen/schrijven, maar als je 2 jaar geleden goed geld neer gelegd hebt voor het ontwikkelen van een website dan is dat vrij zuur.

Daarnaast heeft niet elk bedrijf uit de mkb sector het geld om een nieuwe site te laten ontwikkelen. We hopen dat het, met het updaten en het nakijken welke bestanden zijn aangepast na 15 oktober, te verhelpen is.

[418O2]

Gangster93 schreef op donderdag 30 oktober 2014 @ 12:34:
[...]


Het is aardig dat de meeste mensen roepen laat een nieuwe website ontwikkelen/schrijven, maar als je 2 jaar geleden goed geld neer gelegd hebt voor het ontwikkelen van een website dan is dat vrij zuur.

Daarnaast heeft niet elk bedrijf uit de mkb sector het geld om een nieuwe site te laten ontwikkelen. We hopen dat het, met het updaten en het nakijken welke bestanden zijn aangepast na 15 oktober, te verhelpen is.

Laat dan een simpele site ontwikkelen.

Hou sowieso de updates bij nu, want je bent zo weer aan de beurt.

[Craven]

Gangster93 schreef op donderdag 30 oktober 2014 @ 12:34:
[...]


Het is aardig dat de meeste mensen roepen laat een nieuwe website ontwikkelen/schrijven, maar als je 2 jaar geleden goed geld neer gelegd hebt voor het ontwikkelen van een website dan is dat vrij zuur.

Daarnaast heeft niet elk bedrijf uit de mkb sector het geld om een nieuwe site te laten ontwikkelen. We hopen dat het, met het updaten en het nakijken welke bestanden zijn aangepast na 15 oktober, te verhelpen is.

Je kan de huidige versie naast een backup houden. Je weet echter niet welke backup het probleem niet heeft.

Punt is, dat als je nu je website weet te herstellen, wat je dus nooit kan garanderen zonder een professional in te huren. Je na een aantal uren/dagen weer de sjaak bent. Het onderliggende probleem, een cms met een berg security holes, los je niet op.

Ook een nieuwe hoster zoeken gaat dit probleem niet oplossen. Dan zit je alsnog binnen een aantal uren/dagen met hetzelfde issue.

[Thralas]

Gangster93 schreef op donderdag 30 oktober 2014 @ 12:34:
Het is aardig dat de meeste mensen roepen laat een nieuwe website ontwikkelen/schrijven, maar als je 2 jaar geleden goed geld neer gelegd hebt voor het ontwikkelen van een website dan is dat vrij zuur.

Daarnaast heeft niet elk bedrijf uit de mkb sector het geld om een nieuwe site te laten ontwikkelen. We hopen dat het, met het updaten en het nakijken welke bestanden zijn aangepast na 15 oktober, te verhelpen is.

Tja. Een deel van het budget zou moeten worden besteed aan het updaten van de website. Eenmaal een CMS neergooien en dan hopen dat het onderhoudsloos blijft draaien is vragen om problemen.

Ik ken Drupal verder niet, maar ik vermoed dat alle 7.xx-versies enkel maintenance releases zijn. Dan zou updaten van de site/plugins niet onoverkomelijk moeten zijn.

Vergeet ook vooral je database niet te restoren naar een backup, kans bestaat dat daar wat templates/caches/accounts gewijzigd zijn (doorhalen wat niet van toepassing is).

[Releases]

nieuws: Drupal waarschuwt voor misbruik ernstig beveiligingslek

Zie ook de frontpage.
Ga niet zelf lopen rotzooien en huur iemand in die de ins en outs kent en laat de boel weer lekker op up-to-date brengen en houd dat ook zo.

[418O2]

Of regel een statische website met 2-3 pagina's. Blijkbaar is het niet superbelangrijk voor de business, hou het dan gewoon echt simpel.

[Gangster93]

418O2 schreef op donderdag 30 oktober 2014 @ 13:00:
Of regel een statische website met 2-3 pagina's. Blijkbaar is het niet superbelangrijk voor de business, hou het dan gewoon echt simpel.

De website bevat in totaal +/- 250 pagina's. De website is een 'catalogus' van onze producten in 4 verschillende talen.

[Voor 3% gewijzigd door Gangster93 op 30-10-2014 13:09]

[Foamy]

Gangster93 schreef op donderdag 30 oktober 2014 @ 12:34:
[...]


Het is aardig dat de meeste mensen roepen laat een nieuwe website ontwikkelen/schrijven, maar als je 2 jaar geleden goed geld neer gelegd hebt voor het ontwikkelen van een website dan is dat vrij zuur.

Tsja. Een CMS zal altijd bijgehouden moeten worden, zelfs nog meer dan een "gewone" website. Helemaal als er een standaard CMS gebruikt word. Dit onderhoud is dus iets waar je bij aanschaf al rekening mee moet houden, en liever nog: al afspraken over maakt met de bouwer.

Ik begrijp dat het MKB/kleinbedrijf de kosten zo veel mogelijk willen drukken, maar onderhoud op ICT zou tegenwoordig gewoon budget voor vrijgemaakt moeten worden. Voor andere eigendommen (vastgoed, auto's) word dit ook gedaan, dus waarom voor dit onderdeel niet?

Logisch dat dit nu vrij zuur is. Maar hopelijk kun je (of je baas) hier lering uit trekken voor de toekomst.

[Rob]

Gangster93 schreef op donderdag 30 oktober 2014 @ 12:34:
[...]


Het is aardig dat de meeste mensen roepen laat een nieuwe website ontwikkelen/schrijven, maar als je 2 jaar geleden goed geld neer gelegd hebt voor het ontwikkelen van een website dan is dat vrij zuur.

Daarnaast heeft niet elk bedrijf uit de mkb sector het geld om een nieuwe site te laten ontwikkelen. We hopen dat het, met het updaten en het nakijken welke bestanden zijn aangepast na 15 oktober, te verhelpen is.

Bij de ontwikkelaar langs gaan en eisen dat de site te upgraden moet zijn.

[Gangster93]

Rob schreef op donderdag 30 oktober 2014 @ 13:41:
[...]


Bij de ontwikkelaar langs gaan en eisen dat de site te upgraden moet zijn.

Helaas. Laat nou net het bedrijf waar we onze website bij hebben laten ontwikkelen failliet gegaan zijn. Anders was het verhaal een stukje makkelijker geweest.

[Nijn]

Het is ontzettend zuur dat er in het ontwikkeltraject niet al is gesproken over onderhoud. Dat is simpelweg essentieel, maar je ziet inderdaad dat sommige (vooral kleinere) webdevelopers dat 'vergeten'.

Maar de praktijk is helaas dat een twee jaar oude installatie van Drupal (of welke CMS dan ook) nooit en te nimmer online had mogen staan. Dat is geen risico, maar een garantie op problemen.

Een oplossing zoals ik die zou uitvoeren is als volgt:
- Database controleren op 'rare' dingen.
- Wachtwoorden veranderen
- Backup van bestanden terugzetten (Is die er!?)
- Bestanden controleren op backdoors (Zou me niet verbazen als dit niet de eerste hack is)
- Modules die nog bijgehouden worden updaten
- Overige modules aanpassen / herschrijven / vervangen voor compatibiliteit met de nieuwste Drupal versie
- Drupal updaten
- Hardening toepassen
- Onderhoudscontract afsluiten

In de tussentijd (Dit is niet in een halve dag gedaan) zou je kunnen denken aan een onderhoudspagina, zodat TransIP het account weer kan vrijgeven en de inhoud van de pagina weer onder jouw controle valt.

Let er daarbij op dat de huidige bestanden en je database beschouwd moeten worden als geïnfecteerd totdat het tegendeel bewezen is.

Een oude backup zou een oplossing kunnen zijn, maar daar hoor ik je niet over. Is die aanwezig?

[Gangster93]

Nijn schreef op donderdag 30 oktober 2014 @ 13:55:
Het is ontzettend zuur dat er in het ontwikkeltraject niet al is gesproken over onderhoud. Dat is simpelweg essentieel, maar je ziet inderdaad dat sommige (vooral kleinere) webdevelopers dat 'vergeten'.

Maar de praktijk is helaas dat een twee jaar oude installatie van Drupal (of welke CMS dan ook) nooit en te nimmer online had mogen staan. Dat is geen risico, maar een garantie op problemen.

Een oplossing zoals ik die zou uitvoeren is als volgt:
- Database controleren op 'rare' dingen.
- Wachtwoorden veranderen
- Backup van bestanden terugzetten (Is die er!?)
- Bestanden controleren op backdoors (Zou me niet verbazen als dit niet de eerste hack is)
- Modules die nog bijgehouden worden updaten
- Overige modules aanpassen / herschrijven / vervangen voor compatibiliteit met de nieuwste Drupal versie
- Drupal updaten
- Hardening toepassen
- Onderhoudscontract afsluiten

In de tussentijd (Dit is niet in een halve dag gedaan) zou je kunnen denken aan een onderhoudspagina, zodat TransIP het account weer kan vrijgeven en de inhoud van de pagina weer onder jouw controle valt.

Let er daarbij op dat de huidige bestanden en je database beschouwd moeten worden als geïnfecteerd totdat het tegendeel bewezen is.

Een oude backup zou een oplossing kunnen zijn, maar daar hoor ik je niet over. Is die aanwezig?

Er is een back-up aanwezig van 15 september van de database en bestanden.
Ticket bij Transip voor het plaatsen van een onderhoudspagina staat inmiddels uit.

[Jism]

Gangster93 schreef op woensdag 29 oktober 2014 @ 17:46:
[...]


De versie die is geïnstalleerd is Drupal 7.14. Het updaten van de drupal core is al eerder geprobeerd maar dat is niet mogelijk i.c.m. modules die niet samen werken met de nieuwere drupal versie.

Dan heeft je ontwikkelaar op een niet native manier, de website in elkaar gezet, en zal je ten alle tijde van hem afhankelijk moeten zijn.

Er is niets vervelender dan voor een externe partij te moeten rotzooien in iemand anders zijn code. Zeker wanneer Drupal zelf aangepast is voor een goede werking van je website.

Drupal, wordpress, joomla, de hele bende, deze core files mag je nooit aanpassen, tweaken of wat dan ook. Precies om de reden dat je zo nu en dan je core files up moet daten snap je nu waarom. Dat werk (en blijkbaar cruciale werking) gaat dan ook verloren.

[Thralas]

Jism schreef op donderdag 30 oktober 2014 @ 14:15:
Drupal, wordpress, joomla, de hele bende, deze core files mag je nooit aanpassen, tweaken of wat dan ook. Precies om de reden dat je zo nu en dan je core files up moet daten snap je nu waarom. Dat werk (en blijkbaar cruciale werking) gaat dan ook verloren.

Ik lees nergens dat die core files aangepast zijn, enkel dat thirdparty modules niet meer compatible zijn.

Maar volgens de changelogs van Drupal worden er vooral bugs/regressies verholpen. Dan zouden die aanpassingen wel mee moeten vallen.

Tenzij de originele bouwer inderdaad heeft lopen rotzooien. Maar dat zou niemand ooit doen, toch?

[Saven]

Gangster93 schreef op donderdag 30 oktober 2014 @ 12:34:
[...]


Het is aardig dat de meeste mensen roepen laat een nieuwe website ontwikkelen/schrijven, maar als je 2 jaar geleden goed geld neer gelegd hebt voor het ontwikkelen van een website dan is dat vrij zuur.

Daarnaast heeft niet elk bedrijf uit de mkb sector het geld om een nieuwe site te laten ontwikkelen. We hopen dat het, met het updaten en het nakijken welke bestanden zijn aangepast na 15 oktober, te verhelpen is.

Dat is een misvatting van veel mensen. Een website is niet iets wat je alleen even hoeft te laten ontwikkelen voor XXXX euro oid. Die dient ook onderhouden te worden. Anders krijg je hoe dan ook (soms vroeg, soms later zoals nu) deze problemen... Kun je het niet betalen flans je iets kleins in elkaar. Als je website belangrijk is moet je daar ook meer geld in stoppen..

[Gangster93]

Om een lang verhaal kort te maken.
De back-up van 15 september is teruggezet en de Drupal core en modules zijn geupdate.
Tevens is er een servicecontract afgesloten voor het updaten van Drupal wanneer er belangrijke updates of patches uitkomen.
Bedankt allemaal voor de reacties.

[Nijn]

Doe me een lol en verander nog even je wachtwoorden
Better safe than sorry

[Gangster93]

Nijn schreef op donderdag 30 oktober 2014 @ 17:34:
Doe me een lol en verander nog even je wachtwoorden
Better safe than sorry

Wachtwoorden van FTP, drupal gebruikers en mysql zijn aangepast Thanks voor het advies!