[JOOMLA] Waar zit het lek? (ongewenste folders en bestanden)

[iMars]

Voorop gesteld, ik ben geen fan van Joomla met name om dit soort problemen. Maar het gaat hier niet om mijn websites, maar om een website van een vriend van me.

Een vriend van me heeft een Joomla website. Ivm privacy redenen wil ik niet de domeinnaam en/of hoster vermelden. Maar er is dit jaar 2x een folder aangemaakt in de root, daarin een zipfile, die vervolgens weer uitgepakt is voor een phishing website.

Het draait op een linux server met php 7.4. De Joomla website is helemaal up to date met de laatste updates, ook alle modules/componenten/etc. Hij heeft twee Joomla firewalls geïnstalleerd: "rsfirewall" en "akeeba admin". Deze hebben helemaal niks hiervan gedetecteerd. Dus mijn vermoeden is dat het mogelijk buiten Joomla om gaat.

Ik heb de apache-logs, apache-ssl-logs en ftp-logs nagekeken en kan uit de logs niet halen hoe het gedaan wordt.

folder "a" is aangemaakt om 14:50. Daarin staat een file "wells\ (1).zip" ook met timestamp 14:50. Daarnaast is de folder wells aangemaakt (afkomstig vanaf de zip file). Dit is een Wells Fargo Banking phishing site.

Nu heb ik de logs bekeken van rond dat tijdstip, maar zie daarin niet een link naar hoe ze dat gedaan hebben (door een post of get url te herleiden):

code:

95.217.207.28 - - [07/Mar/2021:14:40:37 +0100] "HEAD / HTTP/1.1" 301 - "-" "httpx - Open-source project (github.com/projectdiscovery/httpx)"
162.253.68.151 - - [07/Mar/2021:14:52:41 +0100] "GET /b/wells/ HTTP/1.1" 302 20 "-" "Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/87.0.4280.88 Safari/537.36"
162.253.68.151 - - [07/Mar/2021:14:52:41 +0100] "GET /b/wells/login.php?cmd=login_submit&id=55c5d2abb8103d85bea910c54c6b06ec55c5d2abb8103d85bea910c54c6b06ec&session=55c5d2abb8103d85bea910c54c6b06ec55c5d2abb8103d85bea910c54c6b06ec HTTP/1.1" 404 3438 "-" "Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/87.0.4280.88 Safari/537.36"
162.253.68.151 - - [07/Mar/2021:14:52:44 +0100] "GET /templates/rt_aurora/custom/uikit/css/uikit.min.css HTTP/1.1" 200 21155 "https://<domeinnaam-vriend>/b/wells/login.php?cmd=login_submit&id=55c5d2abb8103d85bea910c54c6b06ec55c5d2abb8103d85bea910c54c6b06ec&session=55c5d2abb8103d85bea910c54c6b06ec55c5d2abb8103d85bea910c54c6b06ec" "Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/87.0.4280.88 Safari/537.36"
162.253.68.151 - - [07/Mar/2021:14:52:45 +0100] "GET /media/gantry5/engines/nucleus/css-compiled/nucleus.css?6021b6e6 HTTP/1.1" 200 5527 "https://<domeinnaam-vriend>/b/wells/login.php?cmd=login_submit&id=55c5d2abb8103d85bea910c54c6b06ec55c5d2abb8103d85bea910c54c6b06ec&session=55c5d2abb8103d85bea910c54c6b06ec55c5d2abb8103d85bea910c54c6b06ec" "Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/87.0.4280.88 Safari/537.36"
162.253.68.151 - - [07/Mar/2021:14:52:45 +0100] "GET /templates/rt_aurora/custom/css-compiled/aurora-joomla__error.css?6021b72c HTTP/1.1" 200 7905 "https://<domeinnaam-vriend>/b/wells/login.php?cmd=login_submit&id=55c5d2abb8103d85bea910c54c6b06ec55c5d2abb8103d85bea910c54c6b06ec&session=55c5d2abb8103d85bea910c54c6b06ec55c5d2abb8103d85bea910c54c6b06ec" "Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/87.0.4280.88 Safari/537.36"
162.253.68.151 - - [07/Mar/2021:14:52:45 +0100] "GET /templates/rt_aurora/custom/css-compiled/aurora__error.css?6021b72c HTTP/1.1" 200 21196 "https://<domeinnaam-vriend>/b/wells/login.php?cmd=login_submit&id=55c5d2abb8103d85bea910c54c6b06ec55c5d2abb8103d85bea910c54c6b06ec&session=55c5d2abb8103d85bea910c54c6b06ec55c5d2abb8103d85bea910c54c6b06ec" "Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/87.0.4280.88 Safari/537.36"
162.253.68.151 - - [07/Mar/2021:14:52:46 +0100] "GET /templates/rt_aurora/custom/css-compiled/custom__error.css?6021b72c HTTP/1.1" 200 951 "https://<domeinnaam-vriend>/b/wells/login.php?cmd=login_submit&id=55c5d2abb8103d85bea910c54c6b06ec55c5d2abb8103d85bea910c54c6b06ec&session=55c5d2abb8103d85bea910c54c6b06ec55c5d2abb8103d85bea910c54c6b06ec" "Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/87.0.4280.88 Safari/537.36"
162.253.68.151 - - [07/Mar/2021:14:52:46 +0100] "GET /templates/rt_aurora/css/animate.css HTTP/1.1" 200 4429 "https://<domeinnaam-vriend>/b/wells/login.php?cmd=login_submit&id=55c5d2abb8103d85bea910c54c6b06ec55c5d2abb8103d85bea910c54c6b06ec&session=55c5d2abb8103d85bea910c54c6b06ec55c5d2abb8103d85bea910c54c6b06ec" "Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/87.0.4280.88 Safari/537.36"
162.253.68.151 - - [07/Mar/2021:14:52:46 +0100] "GET /components/com_actionlist/assets/css/font-awesome.min.css HTTP/1.1" 200 7053 "https://<domeinnaam-vriend>/b/wells/login.php?cmd=login_submit&id=55c5d2abb8103d85bea910c54c6b06ec55c5d2abb8103d85bea910c54c6b06ec&session=55c5d2abb8103d85bea910c54c6b06ec55c5d2abb8103d85bea910c54c6b06ec" "Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/87.0.4280.88 Safari/537.36"
162.253.68.151 - - [07/Mar/2021:14:52:46 +0100] "GET /media/jui/js/jquery.min.js HTTP/1.1" 200 34137 "https://<domeinnaam-vriend>/b/wells/login.php?cmd=login_submit&id=55c5d2abb8103d85bea910c54c6b06ec55c5d2abb8103d85bea910c54c6b06ec&session=55c5d2abb8103d85bea910c54c6b06ec55c5d2abb8103d85bea910c54c6b06ec" "Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/87.0.4280.88 Safari/537.36"
162.253.68.151 - - [07/Mar/2021:14:52:46 +0100] "GET /media/jui/js/jquery-noconflict.js HTTP/1.1" 200 21 "https://<domeinnaam-vriend>/b/wells/login.php?cmd=login_submit&id=55c5d2abb8103d85bea910c54c6b06ec55c5d2abb8103d85bea910c54c6b06ec&session=55c5d2abb8103d85bea910c54c6b06ec55c5d2abb8103d85bea910c54c6b06ec" "Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/87.0.4280.88 Safari/537.36"
162.253.68.151 - - [07/Mar/2021:14:52:46 +0100] "GET /media/jui/js/jquery-migrate.min.js HTTP/1.1" 200 4014 "https://<domeinnaam-vriend>/b/wells/login.php?cmd=login_submit&id=55c5d2abb8103d85bea910c54c6b06ec55c5d2abb8103d85bea910c54c6b06ec&session=55c5d2abb8103d85bea910c54c6b06ec55c5d2abb8103d85bea910c54c6b06ec" "Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/87.0.4280.88 Safari/537.36"
162.253.68.151 - - [07/Mar/2021:14:52:47 +0100] "GET /media/gantry5/assets/js/main.js?6021b6e6 HTTP/1.1" 200 16421 "https://<domeinnaam-vriend>/b/wells/login.php?cmd=login_submit&id=55c5d2abb8103d85bea910c54c6b06ec55c5d2abb8103d85bea910c54c6b06ec&session=55c5d2abb8103d85bea910c54c6b06ec55c5d2abb8103d85bea910c54c6b06ec" "Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/87.0.4280.88 Safari/537.36"
162.253.68.151 - - [07/Mar/2021:14:52:47 +0100] "GET /templates/rt_aurora/custom/uikit/js/uikit.min.js HTTP/1.1" 200 32445 "https://<domeinnaam-vriend>/b/wells/login.php?cmd=login_submit&id=55c5d2abb8103d85bea910c54c6b06ec55c5d2abb8103d85bea910c54c6b06ec&session=55c5d2abb8103d85bea910c54c6b06ec55c5d2abb8103d85bea910c54c6b06ec" "Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/87.0.4280.88 Safari/537.36"
162.253.68.151 - - [07/Mar/2021:14:52:49 +0100] "GET /templates/rt_aurora/custom/js/scrollReveal.min.js HTTP/1.1" 200 3520 "https://<domeinnaam-vriend>/b/wells/login.php?cmd=login_submit&id=55c5d2abb8103d85bea910c54c6b06ec55c5d2abb8103d85bea910c54c6b06ec&session=55c5d2abb8103d85bea910c54c6b06ec55c5d2abb8103d85bea910c54c6b06ec" "Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/87.0.4280.88 Safari/537.36"
162.253.68.151 - - [07/Mar/2021:14:52:49 +0100] "GET /templates/rt_aurora/custom/images/<herleidbaar>-Logo.png HTTP/1.1" 200 20732 "https://<domeinnaam-vriend>/b/wells/login.php?cmd=login_submit&id=55c5d2abb8103d85bea910c54c6b06ec55c5d2abb8103d85bea910c54c6b06ec&session=55c5d2abb8103d85bea910c54c6b06ec55c5d2abb8103d85bea910c54c6b06ec" "Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/87.0.4280.88 Safari/537.36"
162.253.68.151 - - [07/Mar/2021:14:52:49 +0100] "GET /images/en_gb.gif HTTP/1.1" 200 1027 "https://<domeinnaam-vriend>/b/wells/login.php?cmd=login_submit&id=55c5d2abb8103d85bea910c54c6b06ec55c5d2abb8103d85bea910c54c6b06ec&session=55c5d2abb8103d85bea910c54c6b06ec55c5d2abb8103d85bea910c54c6b06ec" "Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/87.0.4280.88 Safari/537.36"
162.253.68.151 - - [07/Mar/2021:14:52:50 +0100] "GET /templates/rt_aurora/custom/images/404.png HTTP/1.1" 200 113425 "https://<domeinnaam-vriend>/b/wells/login.php?cmd=login_submit&id=55c5d2abb8103d85bea910c54c6b06ec55c5d2abb8103d85bea910c54c6b06ec&session=55c5d2abb8103d85bea910c54c6b06ec55c5d2abb8103d85bea910c54c6b06ec" "Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/87.0.4280.88 Safari/537.36"
162.253.68.151 - - [07/Mar/2021:14:52:52 +0100] "GET /favicon.ico?v=<herleidbaar> HTTP/1.1" 200 1117 "https://<domeinnaam-vriend>/b/wells/login.php?cmd=login_submit&id=55c5d2abb8103d85bea910c54c6b06ec55c5d2abb8103d85bea910c54c6b06ec&session=55c5d2abb8103d85bea910c54c6b06ec55c5d2abb8103d85bea910c54c6b06ec" "Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/87.0.4280.88 Safari/537.36"
162.253.68.151 - - [07/Mar/2021:14:52:53 +0100] "GET /site.webmanifest?v=<herleidbaar> HTTP/1.1" 200 508 "https://<domeinnaam-vriend>/b/wells/login.php?cmd=login_submit&id=55c5d2abb8103d85bea910c54c6b06ec55c5d2abb8103d85bea910c54c6b06ec&session=55c5d2abb8103d85bea910c54c6b06ec55c5d2abb8103d85bea910c54c6b06ec" "Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/87.0.4280.88 Safari/537.36"

Mijn vraag is: hoe kan ik achterhalen HOE het wordt geüpload? (en dus voorkomen)

[OverloadOfRed]

Apache logs ga je weinig aan hebben, tenzij het echt een duidelijk lek is.
In mijn ervaring is dit vaker dan niet een onveilig SSH wachtwoord, of een extra gebruikersaccount die niet beveiligd is.
Ik zou ook eens de joomla core files doorzoeken op gekke dingen, als het vaker achter elkaar gebeurt laten ze toch ergens een deurtje open.

[iMars]

@OverloadOfRed SSH staat uit, kan niet gebruikt worden voor de website (alleen root met ssh-key). Alle ftp-logs doorspit, maar daar staat niks vermeld over dit bestand (wel andere zip-files maar dat zijn backups die gekopieerd worden). Plus hij zegt dat alle accounts een andere wachtwoord hebben gehad (hopen dat dat echt zo is).

Maar er moet toch wat te vinden zijn?

[Tazzios]

uitzoek wat er gebeurd is en welke files er allemaal bij de hack horen is een rot klus.
Ik zou in ieder geval kijken of ook de extra geïnstalleerde modules, componenten en plugins nodig zijn of er een recente update voor is. Zoniet verwijderen of vervangen door een onderhouden versie.
De Joomla downloaden en er overheen uitpakken om de joomla files schoon te hebben.
Maar dan kan het dus ook nog aan de hosting zelf liggen:

In vriend van mij had zijn 3 sites bij een kennis draaien waarbij elk jaar wel een site gesloopt werd. Hij had ook allerlei lapmiddelen geïnstalleerd zoals rsfirewall en akeeba. Nu hij al 2 jaartjes over is naar een ander hosting hoor ik er niets meer van.

Terwijl ik al meer dan 13 jaar meerdere joomla site heb draaien bij verschillende hostingproviders(webreus>versio>antagonist) met maar 1 hack. Zonder allerlei extra bescherming modules.

[Voor 4% gewijzigd door Tazzios op 13-03-2021 17:00]

[Xaverius]

Heb je het lek al gevonden?
Twee RSFirewall en Admin Tools samen, ik weet niet of dit handig is eerlijk gezegd. Maar goed, weet jij of alle (betaalde) extensies en de template Aurora officieel gekocht zijn en gedownload zijn van de originele bron?

Er is toch nog steeds een goed aanbod van illegale versies en die willen nog wel eens een backdoor bevatten.
En zijn alle wachtwoorden inmiddels al aangepast?

[iMars]

Nee niet gevonden helaas... Op mijn advies nogmaals alle wachtwoorden laten wijzigen. Tot nu toe is het rustig als in " niks gebeurd".

Waar ik een beetje mee zit, is als er een backdoor is, of een lek in een bestaande component. En er wordt wat geüpload, hetzij via GET hetzij via POST, dan moet dat toch te zien zijn in de access log?

[Kalkran]

Als je de timestamps hebt van wanneer de zip-files zijn geplaatst heb je een tijdstip om naar te zoeken in de access-logs / syslog.

[AW_Bos]

Ook timestamps zijn overigens te manipuleren. Ik denk dat je beter wat aan de FTP-log hebt, en op een shared-server moet je dit vaak bij de hosting opvragen.

[Oon]

Ik zou ook eens controleren of hij PHP execution uit heeft staan in alle asset mappen. Thema's willen nog wel eens met een docs mapje geleverd worden, waarin dan een index.php zit die een hele simpele templating engine bevat, die dan weer zo lek is als een mandje. Ook bijv. de docs/examples van 3rd party libraries hebben dat vaak.

[iMars]

AW_Bos schreef op donderdag 1 april 2021 @ 17:09:
Ook timestamps zijn overigens te manipuleren. Ik denk dat je beter wat aan de FTP-log hebt, en op een shared-server moet je dit vaak bij de hosting opvragen.

Alle logs van hem heb ik door kunnen spitten, apache, apache-ssl, ftp etc.
Gewoon niks kunnen vinden.

Oon schreef op donderdag 1 april 2021 @ 17:14:
Ik zou ook eens controleren of hij PHP execution uit heeft staan in alle asset mappen. Thema's willen nog wel eens met een docs mapje geleverd worden, waarin dan een index.php zit die een hele simpele templating engine bevat, die dan weer zo lek is als een mandje. Ook bijv. de docs/examples van 3rd party libraries hebben dat vaak.

Zojuist wat geprobeerd, maar geen van de exec functies werken, dat is dus wel goed dicht gezet.
https://www.php.net/manual/en/book.exec.php

[DJMaze]

iMars schreef op zaterdag 13 maart 2021 @ 15:10:
Hij heeft twee Joomla firewalls geïnstalleerd: "rsfirewall" en "akeeba admin".

Verwijderen. Vooral Akeeba Backup heeft nog wel eens zelf beveiligingsgaatjes.

Verwijder ook de FTP instellingen uit de configuration.php.
Bij een goede hoster heb je geen FTP toegang nodig.

[Voor 4% gewijzigd door DJMaze op 01-04-2021 23:31]

[Voutloos]

iMars schreef op donderdag 1 april 2021 @ 20:52:
Zojuist wat geprobeerd, maar geen van de exec functies werken, dat is dus wel goed dicht gezet.
https://www.php.net/manual/en/book.exec.php

Hoe minder aan staat hoe beter, en zeker exec() en eval() het liefste uit is inderdaad goed, maar dit is geen antwoord op het genoemde probleem.

Require of include kan in PHP altijd, dus zodra er ook maar 1 regel onder controle van een aanvaller is kan je al de sjaak zijn. PHP moet dus nooit uitgevoerd worden in de upload map (lees: let vooral op wat in de webroot en erbuiten staat). Code kunnen uploaden bij thema’s of bij image uploads is een veel voorkomende bug, er zou al iets in een thema kunnen zitten, Joomla, thema of andere extensies kunnen een probleem gehad hebben etc. etc.

In het kort: exec() uit is dikke prima, maar nu nog de andere 100 details goedkrijgen. En dan kan het alsnog nog gewoon aan een keylogger, ftp client of herbruikt wachtwoord op de pc van vriend liggen.

Die pc gaat ook niet per se vrij uit zoals ik het nu lees. Dus eigenlijk moet zowel client als server opnieuw opgetuigd worden omdat je niet weet of het nog steeds compromised is.