BotNetzProvider.de Ein Security Blog über Honig-Töpfe (honeypots) , Bots und Bitcoin

25Jul/120

Sicherheitlücke Plesk und deren Folgen

In den letzten Wochen ist viel rund um Plesk passiert.

Angefangen hat es mit einem Angebot von einer Hacker Gruppe, die für ein paar Tausend Dollar ein 0-Day Exploit für Plesk zum Verkauf angeboten hat. Zunächst wurde es als Hoax abgehandelt, bis schließlich die ersten gehackten Server aufgetaucht sind.

Laut Plesk handelt es sich wohl nicht um eine neue Sicherheitslücke, sondern um eine alt bekannte:

No, there is no new security problems in Plesk 10.4.4. The
vulnerability is the old one. Please refer to this article in our
knowledge base: http://kb.parallels.com/en/114330

The attack could occur on patched server if:

1) passwords were stolen previously when servers had a vulnerable
version of Plesk installed. If passwords were not changed using
http://kb.parallels.com/en/113391, then attackers could use them in
order to hack servers.

2) passwords were changed using http://kb.parallels.com/en/113391, but
some end-users changed their passwords back to old ones.

Man kann sich diesbezüglich nicht 100% sicher sein, aber die Analysen laufen noch.

Im Plesk Forum wird von Administratoren berichtet, die trotz des Einspielens der Sicherheitsupdates von Plesk und das Ändern sämtlicher Passwörter in kürzer wieder gehackt worden sind. Hier stellt sich die Frage, ob die Administratoren von Anfang an nach Backdoors und neu angelegten Usern gesucht haben?

Plesk Upgrade:
Seit dem 15.Juli 2012 hat Paralles Plesk ein wichtiges Sicherheitsupdates veröffentlicht für alle Plesk Versionen (v8-10) und Plesk 11 (nur für Windows). Leider wird nicht viel zu dem Update geschrieben, nur das es als „critical“ eingestuft wird und jeder installieren muss. Link

 

Wie kann ich feststellen, ob mein Server gehackt worden ist?

  • Produziert Ihr Server ungewöhnlich viel Traffic?
  • Reagiert er langsamer als normal
  • Hat Ihr Virenscanner verdächtige Dateien gefunden?

Oftmals werden von den Angreifern Cronjobs angelegt und können unter

$ ls /var/spool/cron/tabs/

eingesehen werden.
Gerne werden die Cronjobs als User www-data angelegt und rufen schadhafte Skripte auf.

Auch sollte man die Prozessausgabe „ps“ sich mal genauer ansehen, um ungewöhnliche Prozesse zu identifizieren.

Ein weiteres hilfreiches Tool zur Analyse ist „netstat“ mit dem man offene Verbindungen überprüfen kann.

Falls man mit der Analyse überfordert ist, oder nicht genau sicher ist sollte man sich professionielle Hilfe holen. Ein gehackter Server kann schnell zu vielen Problemen führen.

 

ITS Netzwerk Services

Unser Service umfasst:

  • Schnelle Hilfe bei akuten Sicherheitsproblemen und Hackerangriffen
  • Sicherheitslücken in CMS (z.B. Joomla,Wordpress,etc) schließen
  • Langfristige Wartung und Administration Ihrer Systeme
  • Angriffsanalysen und Auswertungen der Angriffe
  • Bedrohungsanalysen
  • Sicherheitsüberprüfung Ihrer Systeme

Wenn Sie ein individuelles Angebot einholen möchten, schicken Sie uns eine E-Mail an: service@its-netzwerk.com oder besuchen Sie uns www.its-netzwerk.com

/* google like button API */