120.000 Nederlandse pagina's gehackt tijdens aanval
Zo'n 120.000 pagina's op Nederlandse websites zijn tijdens een grootschalige aanval gehackt en voorzien van malware die de computers van bezoekers infecteert. In totaal zouden meer dan één miljoen webpagina's besmet zijn geraakt, aldus het Internet Storm Center (ISC). Begin december stond de teller nog in totaal op 160.000. De aanvallers plaatsten via SQL-Injection een link op de pagina's, die naar het domein lilupophilupop.com wijst. Dit domein zou bezoekers met een nep-virusscanner proberen te infecteren.
Aanval
Hoewel websites uit verschillende landen zijn getroffen, zijn de meeste besmette pagina's in Nederland gevonden. Door op "script src="http://lilupophilupop.com/" in Google te http://www.google.nl/search?q=site:.nl+" script+src%3D"http://lilupophilupop.com/"" zoeken is het aantal pagina's te vinden.
"Op het moment lijkt het erop dat de aanval deels geautomatiseerd en deels handmatig is. Het handmatige deel en het aantal geïnfecteerde sites suggereert een grote groep aanvallers of een lange voorbereidingsperiode", zegt ISC-handler Mark Hofman.
EDIT2: De zoeklink werkt nog steeds niet. Deze link doet 't wel: https://encrypted.google.com/search?q=%3Cscript%20src=%22http://lilupophilupop.com/sl.php%22%3E
Of deze code
<a href="https://encrypted.google.com/search?q=%3Cscript%20src=%22http://lilupophilupop.com/sl.php%22%3E" target="_blank">zoeken</a>
"script src="http://lilupophilupop.com/ site:*.nl"
append site:.nl to the Google query like below:
"script src="http://lilupophilupop.com/" site:.nl
(Happy New Year!)
Je kunt er dus niet meer op terecht komen en geïnfecteerd raken.
Daarnaast, reken er maar op dat de IP-adressen van dat soort sites vaak wisselen. Bovendien veranderen de hostnames regelmatig. Disable Java in je webbrowsers (of verwijder het van je systeem) en zorg dat alle plugin software (Adobe Reader, Flash, Quicktime, Realplayer etc.) absoluut up-to-date zijn.
Overigens een slechte zaak dat Adobe nog geen update van Flash heeft uitgebracht terwijl deze een bekend lek bevat (zie http://isc.sans.edu/diary.html?storyid=12166).
Verder zijn er zat slimme ZZP´ers die je application stack met zoiets als Rational appscan helemaal kunnen doorlichten.
Security is niet zo moeilik, maar je moet wel actie nemen.
site:nl script src=http://lilupophilupop.com/sl.php -vakantieland.nl
kom je opeens nog maar op 34000 paginas uit... ipv 119000
Kijk daarom ook naar de volgende tabellen in de Master database:
MSReplication_Options
spt_fallback_dev
spt_values
mvg
Stefan
dEClaRe
VaRchaR
SELECT
InSerT
and
- Lock down your system views so they cannot be accessed by your website logons.
- Put all your CUD (create, update, delete) statements in stored procs with execute permission and then only grant your website logon select permission.
- Use parametrised queries instead of string concatenation to build SQL statements.
- Sanitise all input parameters used for SQL that are submitted from your website.
- Create some simple ISAPI rules to forward requests like these to 403 error pages.
- Ensure any error messages are hidden from your website users.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
