Ataki na IPB 3

[lumota]

Nie wiem co się dzieje ale moja strona została zniszczona przez jakiegoś hackera albo program o nazwie ploxy czy jakoś tak

miałem stronę na proserwer kilkanaście dni a tu w poniedziałek nie wiadomo skąd plik index zaczął się zmieniać na nazwę iindex.php potem strona całkowicie zniknęła i wszystkie strony z kont ftp i pojawił się sam index.php z napisami ploxy coś tam i moje dane do konta ftp wtf?

zmieniłem hasło a na drugi dzień znowu co to może być

nikomu nie dawałem danych do konta

czy jak zmienię serwer to będzie to samo ? i czy da się zabezpieczyć przed takimi atakami ?

[DawPi]

To mi wygląda na atak na serwer, a nie na samo forum. Skoro po wyczyszczeniu plików problem wraca. Kontaktowałeś się z administracją serwera z prośbą o wyjaśnienia?

[lumota]

najpierw się zapytałem czy maja kopię zapasową plików ftp. odpisali że kopie robi się we własnym zakresie, no to wtopa , naszczeście baza danych ozalala to sobie wszystko na local host przeniosłem

kilkanascie minut temu wysłałme następny, własnie z zapytaniem co się dzieje, czy to jakiś wirus czy włamanie. Musze poczekać 3h albo więcej na odp.

Edytowane 18 Stycznia 2011 przez lumota

[mlodszy]

Masz: Antywirus/Firewall? Nie instalowałeś czegoś ostatnio na swoim komputerze?

Widzisz, dla mnie to też trochę wygląda na problem z Twojej strony.

BTW, połączenie kablowe/radiowe, zabezpieczone?

[Sip]

Na az.pl są identyczne sytuacje i to bardzo często.

[lumota]

odpisali

Polecam pozmieniać hasła do panelu proserwer a potem do cpanelu i ftp.

1. Przeskanować swój komputer na wirusy/trojany

2. Usunąć zapamiętane hasła w kliencie FTP i nie używać zapamiętywania haseł

3. Zmienić hasło do FTP poprzez cpanel -> zmiana hasła (zapisz je sobie na kartce albo w pliku tekstowym)

4. Usunąć z plików na serwerze złośliwy kod (zwykle jest na początku lub na końcu kodu w plikach typu index.php, index.html - mają zmienioną datę modyfikacji) lub nadpisać pliki na serwerze oryginalnymi (niezainfekowanymi) plikami.

Uwaga: wirus ten jest niezależny od hostingu, zatem jeżeli masz również konta w innych firmach - zastosuj te same środki ostrożności. Więcej informacji o wirusie znajdziesz tutaj.

artykuł który otrzymałem:

http://di.com.pl/news/26343,0,Wstrzykuje_stronom_zlosliwy_kod_przez_FTP.html

wychodzi na na to że wirus wykradł moje dane ftp przez filezille

ale to trochę dziwne tyle lat używałem a dopiero teraz się takie coś zdarzyło

[DawPi]

Nie lubię takiego spoufalania.

[@lek]

Na dH znalazlem tkie info

W ostatnich dniach z niepokojem obserwujemy pojawiające się kolejne zgłoszenia dotyczące włamań na Państwa serwisy internetowe. Najczęściej zmiany dokonywane są w plikach index.php oraz index.html i powodują doklejenie kodu ze złośliwym kodem lub przekierowanie strony na inny serwis.

Po dokładnej analizie już kilku pierwszych przypadków okazało się, że "włamania" mają ze sobą część wspólną: każdy zgłaszający użytkownik miał zainstalowany przynajmniej jeden sklep oparty na popularnym skrypcie osCommerce. Okazuje się, że problem dotyczy różnych wersji oprogramowania, tak skryptów instalowanych samodzielnie jak i modyfikowanych przez różne firmy, które bazowały na silniku osCommerce np. sklep Netcart. W tej sytuacji mogły zostać zaatakowane pozostałe skrypty znajdujące się w obrębie jednego konta hostingowego.

Do włamań wykorzystywane są luki w nieaktualizowanym skrypcie osCommerce. W ostatnich latach zostało odnalezionych wiele luk w tym systemie i brak aktualizacji oprogramowania prowadzi do zwiększonego ryzyka ataku na Państwa dane znajdującym się na serwerze. Ze względu na podobieństwo ataków i ich częstotliwość mamy powody przypuszczać, że mogą być one wykonywane przez odpowiednio zaprogramowane roboty sieciowe przeszukujące Internet pod kątem sklepów podatnych na ataki.

W związku z powyższym gorąco zachęcamy do sprawdzenia aktualności wykorzystywanego oprogramowania i dokonania potrzebnych aktualizacji.

Apel ten dotyczy także użytkowników innych popularnych systemów, np. WordPress, phpBB, Magento. Każde nieaktualizowane oprogramowanie może być powodem włamania na Państwa konto...

[DawPi]

To już stare info, ale jakby nie pasuje do sytuacji.

[@lek]

Moim daniem pasuje z tym co lumota podaje

http://di.com.pl/news/26343,0,Wstrzykuje_stronom_zlosliwy_kod_przez_FTP.html

[DawPi]

Jego też nie pasuje. :-)

No, ale nie ważne. Niech IPSiaki działają prędko!