LeaseWeb sluit eindelijk berucht malware domein
Beveiligingsonderzoeker Denis Sinegubko ontdekte dat hackers maandenlang IP-adressen van LeaseWeb gebruikten voor het verspreiden van malware, maar de Nederlandse hostingprovider heeft eindelijk maatregelen genomen. Vorige week ontdekte Sinegubko een kwaadaardig script dat op allerlei gehackte websites wordt geplaatst. Het script gebruikt onder andere poort 8080, regelmatig wisselende .ru domeinen en vijf IP-adressen. IP-adressen van gehackte, legitieme servers. Tot verrassing van de onderzoeker bleken de IP-adressen allemaal te wijzen naar de Nederlandse hostingprovider LeaseWeb en het Franse OVH.com. "Is het toeval of is er iets waardoor LeaseWeb en OVH hackers aantrekken?"
Op de gehackte sites installeren de aanvallers ook een nginx server op poort 8080. Deze servers zijn in werkelijkheid reverse proxies die de centrale server met al de exploits verbergen. Bij de laatste iframe aanval bleek deze server zich achter het domein mdvhost.com te verschuilen. "Het zal geen verrassing zijn dat deze site zich ook in het LeaseWeb netwerk bevindt." De hostingprovider was al in september door Stopbadware.org gewaarschuwd, maar er volgde geen enkele reactie. "Is het een teken dat het ze niets kan schelen dat ze een server hosten die miljoenen computers en honderdduizenden websites heeft besmet?"
Drie maanden
De noodkreet van Sinegubko kwam uiteindelijk aan bij LeaseWeb security officer Alex de Joode. Die laat weten dat mensen die een abuse melding doen geen antwoord krijgen. "Dit is dus geen indicatie dat LeaseWeb de melding niet heeft ontvangen of geen actie onderneemt." Daarnaast is het mdvhost.com domein na tenminste drie maanden eindelijk gesloten. De aanval gaat inmiddels via een ander domein en IP-adressen van OVH verder, maar de onderzoeker is blij met de actie van de Nederlandse hostingprovider. "Gelukkig kunnen zulke berichten soms het verschil maken."
LeaseWeb heeft een volledige URL nodig, als wij verifieren dat er malware opstaat krijgt de klant een korte tijd om e.e.a. te fixen,
bij uitblijven van een response null-routen we. Als we geen volledige URL krijgen dan vragen we de melder de informatie aan te vullen, lukt dat niet van vragen we de klant e.e.a. te onderzoeken.
Alex de Joode
Security Officer
LeaseWeb BV
sneller als stront door een rietje schijnbaar dat ze 3 maanden nodig hadden..
Ik heb een maand of twee geleden wat sites gemeld toen ik voor de zoveelste keer "Hey ben jij dit op deze foto?" email kreeg en vervolgens op een nep MSN site moest klikken wat ik uiteraard niet heb gedaan.
Netjes de WHOIS gecheckt en dit gemeldt aan Leaseweb.
Kreeg vervolgens een week of twee geen reactie dus netjes een klacht ingedient bij de OPTA en tevens vermeld dat Leaseweb te lui is om er iets aan te doen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
