Als mij dit overkomt, alle bestanden hebben een correctie HASH, de website terug zetten is een karwei van enkele uren. Maar een paar gigabyte. Ik ben hier toe overgegaan van deze manier van backuppen toen RANDSOMWARE steeds gevaarlijker werd. Zodra een HASH correctie code is veranderd wordt dit gelukkig hersteld. Zo is het principe tegen RANDSOMWARE, geef ieder bestand een eigen code, zorg dat alle bestanden bij elkaar ook een code hebben. Is er verandering? Dan automatisch terugzetten van backup.

Je moet dan wel voor iedere website 1 enkele totaal HASH code bijhouden, wat gemakkelijk kan door een lange CODE op papier uit te printen.

Heb wel degelijk gezien dat bij een persoon bestanden slechts 1 voor 1 werden aangetast en veranderd, als een slapend virus. Ik kon dat niet herstellen en nu kan ik dat voorkomen.

Backups zijn ook niet nieuw maar dat schijnt maar een zeldzaam geadviseerde oplossing te zijn.

pastebin: http://pastebin.com/raw/jtSjmJzS

Backups is niet echt de *oplossing* voor een klaarblijkelijke zero-day exploit. Ja, je bedrijf komt niet in gevaar maar je blijft kwetsbaar totdat de exploit gevonden en gepatched wordt.
Het is prachtig dat je de bestanden kunt herstellen totdat de beschadigde bestanden in je backup komen.

@Muria: dat doet nog niets met het dreigement dat de bestanden gelekt worden.. Voor een standaard wordpress website is dat niet erg (tenzij ze een dump maken van de database en er persoonsgegevens in staan(!)), maar als het een web applicatie is en we het over intellectueel eigendom hebben wordt het wel heel vervelend.

Van bleepingcomputer: Hoeveel tijd zou het een aanvaller kosten om op deze manier 1 server binnen te komen? Klinkt nogal arbeidsintensief (voor de aanvallers-GPU dan).

Niet alleen dat - ook zet je met je backup hetzelfde zero-day lek terug dat ervoor zorgde dat je website gehacked werd! Je repareert helemaal niks, de deur staat nog net zo wijd open als voor de hack, je bezoekers zijn hun forum/mails/nieuws/whatever van de afgelopen tijd kwijt en je data ligt op straat...

Edit@ph-cofi:
SSH brute-force is redelijk eenvoudig te ondervangen door bijvoorbeeld fail2ban. Het gebruik van standaard wachtwoorden (te verkrijgen in mooie lijstjes) maakt brute-forcen niet al te lastig voor hackers. Beetje jammer natuurlijk dat je achteraf als Admin dan moet toegeven dat je wachtwoord niet al te sterk was...

Ik kan nergens vinden hoe dit dan wordt gedaan. Kwam het echt door Linux?. Of was het misschien Apache? Of een lek PHP script (dus niet PHP zelf)? Of had iemand SSH open staan met PasswordAuthentication yes, wie weet zelfs PermitRootLogin yes, zonder brute-force detectie in plaats van public key authenticatie en eventueel SSH op een andere poort laten lopen (ja, het werkt echt tegen de meeste scriptkiddies dus laten we die discussie niet voeren)? Of is er een FTP account gehacked? Of... Er zijn stapels mogelijkheden hoe dit heeft kunnen gebeuren die niet eens zo high-tech zijn...

Verder, het schijnt dat de files achter worden gehouden en tot dusver blijkt nergens uit dat ze encrypted zijn. Dus waarom is dit ransomware? Het lijkt er meer op dat iemand de website is binnen gedrongen, en dat was dan perongeluk op een Linux webserver. Die persoon heeft de website leeg geslurpt en vraagt nu losgeld om de files weer terug te geven en niks openbaar te maken.

Ik mis informatie waaruit blijkt dat Linux de schuldige is, en waaruit blijkt dat we echt met ransomware te maken hebben.

Dat is mijn punt ook, ik kan nergens iets vinden hoe de randsomware wordt geupload ofzo en hoe het geactiveerd wordt. Tot die tijd kan je er ook niets tegen beginnen behalve de standaard procedures als updates uitvoeren en backups maken.

Tjah, dan kan je je ook afvragen of we met ransomware te maken hebben. Het lijkt dus meer op een al dan niet simpele hack.

Ach ja, tegenwoordig moet het beestje een naam hebben, en "ransomware" is dan natuurlijk wel catchy en klinkt veeeel gevaarlijker.

Wel vaak geadviseerd, alleen in praktijk weinig gebruik van gemaakt ;-)
Ook wordt er te vaak door consumenten vertrouwd op synchronisatie tools met bv. een NAS.
Maar wanneer je ransomware hebt, synct die dit netjes naar je NAS als je niet uitkijkt...

Bruteforce SSH... dus SSH open voor de buitenwereld? Herp derp dat is vragen om moeilijkheden.

Volgens mij si
Volgens mij is de ontwikkeling van ssh, juist op daarop gericht. Of heb je liever dat men cpanel en phpmyadmin gebruikt?