Slordige webmasters laten duizenden blogs hacken
De afgelopen weken zijn duizenden Wordpress blogs en Joomla-sites gehackt en gebruikt voor het hosten van dubieuze webwinkels. De aanvallers weten volgens beveiligingsonderzoeker Denis Sinegubko het wachtwoord van de Wordpress administrator te brute-forcen. Hebben de aanvallers toegang, dan wordt er op de administrator interface ingelogd en een webshell in een bestaande plug-in geïnjecteerd. Vervolgens wordt een subdirectory op de webserver aangemaakt waar een nieuw blog wordt aangemaakt. Deze blogs fungeren als een 'doorgeefluik' en promoten een webwinkel van de spammers.
Sinegubko ontdekte 3.000 gehackte websites met unieke domeinnamen, waar gemiddeld één tot vier spamblogs op waren geïnstalleerd. Elk blog bevat weer 200 tot 500 postings, met eigen combinaties van sleutelwoorden voor producten als afslankpillen en luxe accessoires. Ook worden op gehackte Wordpress installaties phishingsites gehost.
Advies
De onderzoeker adviseert webmasters om sterkere wachtwoorden te gebruiken en geen standaard namen zoals admin voor de applicatie administrator te kiezen. "Je website, hoe groot of klein die ook is, is een waardevol middel voor cybercriminelen." Daarnaast moeten webmasters ook nauwlettend nieuw aangemaakte mappen op de webserver controleren, iets wat nu ook nauwelijks zou gebeuren.
Dat verlengt enkel de tijd van de brute-force aanval, beter is om het aantal inlogpogingen per X tijd vast te stellen gevolgd door een (tijdelijke) IP blokkade.
Veiligheid voor alles natuurlijk.
het brute-forcen over een netwerk gaat een heel stuk langzamer en op een bepaald moment trekt de server ook 100%, het is niet net zoals hashes die met een paar miljard wachtwoorden p/s kunnen worden gekraakt.
Een wachtwoord als: D1t1sH3T.wachtw00rdvoormijn_perSo0nlijke-BLOG# is niet te raden en toch makkelijker te onthouden dan een random string van 12 tekens.
Nu is het blokkeren van een IP-adres naar een x-aantal loginpogingen wel een redelijke gedeeltelijke oplossing.
Met een moderne CPU zijn circa 2.8 miljard combinaties per seconde te genereren. Je hebt volledig gelijk wat betreft langere wachtwoorden, maar max 3 inlogpogingen voelt voor mij extra veilig (los van het feit dat ik een lang wachtwoord gebruik natuurlijk).
Ik wil wel even zien hoe jij 2.8 miljard inlogpogingen per seconde op een blog doet. Da's iets in de orde van 5-6 Tbit/s en dat ga je niet snel halen. De snelheid van een CPU is alleen leuk als je al een hash hebt. Daar kun je misschien wel bij komen na je eerste succesvolle bruteforce, maar als die eerste een paar eeuwen kost schiet het niet op.
Ik zie ook meer heil in fail2ban etc. maar onderschat ook sterke wachtwoorden niet. Ik laat keepass wat verzinnen en zet op de keepass database een leuke passphrase. Denk aan de "correct horse battery staple" comic van xkcd (https://xkcd.com/936/)
Daarnaast kan het natuurlijk ook geen kwaad om http authenticatie (.htacess etc.) toe te passen op alles wat normale gebruikers niet hoeven te benaderen, twee barrières zijn tenslotte meer dan één en het stopt wellicht een SQLi exploit.
Bedenk dat 'correct horse battery staple' 3.90 x 10^49 pogingen vereist, en 'shah9Mie*to!aGha' maar 4.45 x 10^31. Da's een triljoen maal meer werk. (Europese triljoen, Amerikanen zouden het een quintillion noemen..)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
