Websecurity - Веб безпека

Після попереднього виявлення похаканих сайтів в моїх логах, приведу нову інформацію про взломані українських сайти. Що використовуються для атак (зокрема RFI атак) на інші сайти.

Похакані сайти в Уанеті:

• http://mkt.od.ua (хакером FeeLCoMz) - 30.09.2011

Файли, що використовуються для RFI атак:

http://mkt.od.ua/e107_files/downloads/fx29id1.txt - файл все ще розміщений на сайті.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://rada-bershad.gov.ua (хакером ho1onk) - 20.09.2011 - взломаний державний сайт, зараз сайт вже виправлений адмінами
• http://koreiz-ps.gov.ua (хакером Wizardz) - 26.09.2011 - взломаний державний сайт, зараз сайт вже виправлений адмінами
• http://webkolo.org.ua (хакерами з RKH) - 11.08.2011, зараз сайт вже виправлений адмінами
• http://webkolo.com.ua (хакерами з RKH) - 11.08.2011, зараз сайт вже виправлений адмінами
• http://azovdvorik.com (хакером iskorpitx) - 10.08.2011, зараз сайт вже виправлений адмінами

В серпні відбувся новий масовий взлом сайтів на сервері Besthosting. Він тривав на протязі 2010 - 2011 років: 14.12.2010, 27.12.2010, 22.01.2011, 04.02.2011-22.02.2011, 11.03.2011, 20.04.2011, 02.05.2011, 11.07.2011, 10.08.2011 та 11.09.2011-14.09.2011. Другий масовий взлом сайтів на сервері Besthosting відбувся раніше.

Був взломаний сервер української компанії Besthosting. Взлом, що складався з декількох масових дефейсів та багатьох окремих дефейсів по одному або декількох сайтах, відбувся в той же період, що і згаданий масовий взлом сайтів на сервері HostPro.

Всього було взломано 55 сайтів на сервері хостера Besthosting (IP 195.248.234.41). Це наступні сайти: www.dvs-vinnitsa.gov.ua, artbagets.com, ubozcn.gov.ua, picks.com.ua, rock.vn.ua, sharkdesign.com.ua, fest.od.ua, bastion.vn.ua, artstuff-pro.com.ua, wn4wz.org.ua, reactorband.com, startup-music.com, terroraiser.com, stalwart.ru, multimarket.in.ua, advokat-chernigov.com.ua, advokat-ismailov.com, www.derevodekor.ru, domikvkaluge.ru, saunapodkluch.com, www.megamart.dp.ua, sng-technologies.com, www.mediapositiv.com, andriyushenko.com, aspua.com, exybible.ru, web.cn.ua, viglstudio.com.ua, optdekor.com, olkaragro.com.ua, harakterstvo.in.ua, impreza.biz.ua, ithelper.com.ua, itmasters.kiev.ua, vipmaster.dn.ua, slepki.com.ua, sde.in.ua, shoptrenager.com.ua, studio-disco.com, bizgarant.com, katalogi.in.ua, kbr.in.ua, carbon.lg.ua, budservice.vn.ua, diana-secret.com, www.icees.ru, www.admin.vn.ua, www.zhu4ok.com, www.mir-ok.in.ua, www.momibosse.com.ua, 2g-studio.net, edemnaotdyh.com, lyubavushka.com, umishki.com.ua, nocturnus.com.ua. Серед них українські державні сайти ubozcn.gov.ua та www.dvs-vinnitsa.gov.ua.

З зазначених 55 сайтів 1 сайт був взломаний хакерами з S3cur1ty-T3r0r-Cr3w, 14 сайтів хакером Besiktas Carsi Grubu, 2 сайти хакером iskorpitx, 2 сайти хакерами з RKH, 2 сайти хакерами з KSG-CREW, 2 сайти хакером biangrusuh, 7 сайтів хакером Mr AnEnO, 21 сайт хакером Matrex, 3 сайти хакерами з ahs-hackerz та 1 сайт хакером kaMtiEz.

Враховуючи велику кількість сайтів на одному сервері та короткий проміжок часу для дефейсу невиликої групи сайтів та багатьох взломів маленьких груп сайтів на протязі двох років, маловірогідно, що вони були взломані через взлом серверу хостінг провайдера (коли через взлом одного сайта, був отриманий root доступ до сервера). Але атаку на інші сайти на даному сервері через взлом одного сайту не можна виключати (бо до деяких з цих сайтів могли дістатися і без root доступа).

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://archive.org.ua - інфекція була виявлена 27.11.2011. Зараз сайт не входить до переліку підозрілих.
• http://orienteering.dp.ua - інфекція була виявлена 06.12.2011. Зараз сайт не входить до переліку підозрілих.
• http://krizis2009.org.ua - інфекція була виявлена 22.11.2011. Зараз сайт входить до переліку підозрілих.
• http://drummer.in.ua - інфекція була виявлена 20.11.2011. Зараз сайт не входить до переліку підозрілих.
• http://medinstitut.kiev.ua - інфекція була виявлена 06.12.2011. Зараз сайт не входить до переліку підозрілих.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://www.sips.gov.ua (хакером Ma3sTr0-Dz) - 20.09.2011 - взломаний державний сайт, зараз сайт вже виправлений адмінами
• http://www.sdip.gov.ua (хакером Ma3sTr0-Dz) - 20.09.2011 - взломаний державний сайт, зараз сайт вже виправлений адмінами
• http://www.schule8.org.ua (хакером iskorpitx) - 10.08.2011, зараз сайт вже виправлений адмінами
• http://webkolo.com (хакерами з RKH) - 11.08.2011, зараз сайт вже виправлений адмінами
• http://larose.pp.ua (хакерами з RKH) - 11.08.2011, зараз сайт вже виправлений адмінами

В серпні відбувся новий масовий взлом сайтів на сервері HostPro. Він тривав на протязі 2010 - 2011 років: 18.11.2010, 03.05.2011, 02.08.2011-03.08.2011 та 06.10.2011. Четвертий масовий взлом сайтів на сервері HostPro відбувся у цей же період.

Був взломаний сервер української компанії HostPro. Взлом складався з одного масового дефейса (65 сайтів) та трьох окремих дефейсів по одному сайту.

Всього було взломано 68 сайтів на сервері хостера HostPro (IP 194.28.85.14). Це наступні сайти: vitamon.in.ua, gameboykiev.com, www.gemmagee.com.ua, gtbs.com.ua, www.jemchyjina.lg.ua, www.mariphoto.com.ua, revcenter.com.ua, simvola.net, kap-center.com, lookaround.com.ua, linenofdesna.com, www.rapsoil.ua, sprgroup.com.ua, kaletin.com.ua, elvi.ua, okna-sbi.com.ua, pilotsunion.org.ua, mykomfort.com.ua, 5-s.com.ua, smirnov-auto-parts.com.ua, pidhrushna.te.ua, motorvent.com.ua, startup-az.com, www.starfrut.com.ua, edimvkusno.in.ua, stoness.info, summ.com.ua, akpp.vn.ua, www.starprint.com.ua, auto-fleet.com.ua, atm.zp.ua, www.ctgt.com.ua, technoimpuls.com.ua, suntruth.com.ua, auto-key.kiev.ua, tehmash.com, tiandeua.com, tmark.com.ua, tiens.ternopil.ua, www.tradeimport.com.ua, ukrainepoker.com.ua, www.ukrlog.com.ua, volksauto.com.ua, ukray.com.ua, vaibit.org, ulianarudich.com.ua, ukr-resins.com, www.urologist.kiev.ua, d-revival.com.ua, dt.crimea.ua, diogo.com.ua, dtg-electric.com, dom-tm.com.ua, don.biz.ua, donmet.com.ua, brooklyn-club.com.ua, billiard.co.ua, bpsbltd.com, actionlife.com.ua, artime.com.ua, atlant-otel.ru, ccroma.info, vostanovlenie.com.ua, trempel.tv, rynokukr.com.ua, ac.com.ua, www.zamok-markizy.kiev.ua, ekovka.com.ua.

З зазначених 68 сайтів 66 сайтів були взломані хакерами з RKH, 1 сайт хакером iskorpitx та 1 сайт хакером merci1994.

Окрім трьох окремих дефейсів по одному сайту, стосовно масового дефейсу сайтів можна сказати, що враховуючи велику кількість сайтів на одному сервері та короткий проміжок часу для дефейсу всіх цих сайтів, немає сумнівів, що вони були взломані через взлом серверу хостінг провайдера. Коли через взлом одного сайта, був отриманий root доступ до сервера (через уразливості в програмному забезпеченні самого сервера) та атаковані інші сайти на даному сервері. Або через використання уразливостей на сервері для доступу до інших сайтів.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://ool.ua - інфекція була виявлена 16.11.2011. Зараз сайт не входить до переліку підозрілих.
• http://aviso.ua - інфекція була виявлена 16.11.2011. Зараз сайт не входить до переліку підозрілих.
• http://vrazrabotke.com.ua - інфекція була виявлена 30.11.2011. Зараз сайт входить до переліку підозрілих.
• http://fn.ua - інфекція була виявлена 16.11.2011. Зараз сайт не входить до переліку підозрілих.
• http://ukrdeftech.com.ua - інфекція була виявлена 19.11.2011. Зараз сайт не входить до переліку підозрілих.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://vikna-ua.com (хакерами з RKH) - 17.08.2011, зараз сайт вже виправлений адмінами
• http://penstyle.net (хакерами з RKH) - 17.08.2011, зараз сайт вже виправлений адмінами
• http://clubtur.net (хакерами з RKH) - 17.08.2011, зараз сайт вже виправлений адмінами
• http://yabschool.com.ua (хакером Mc.Timy)
• http://agroptaha.com (хакером TheScream) - 21.11.2011, зараз на сайті немає контенту

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://kamelot.in.ua - інфекція була виявлена 02.11.2011. Зараз сайт не входить до переліку підозрілих.
• http://e-apteka.com.ua - інфекція була виявлена 20.10.2011. Зараз сайт не входить до переліку підозрілих.
• http://balibastra.if.ua - інфекція була виявлена 08.2011. Зараз сайт входить до переліку підозрілих.
• http://mirspeciy.com.ua - інфекція була виявлена 18.11.2011. Зараз сайт не входить до переліку підозрілих.
• http://tovarnadom.com.ua - інфекція була виявлена 14.09.2011. Зараз сайт не входить до переліку підозрілих.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://8oda.kiev.ua (хакерами з RKH) - 17.08.2011, зараз сайт вже виправлений адмінами
• http://autofan.kharkov.ua (хакерами з RKH) - 17.08.2011, зараз сайт вже виправлений адмінами
• http://x-dom.com.ua (хакерами з RKH) - 17.08.2011, зараз сайт вже виправлений адмінами
• http://oeda.com.ua (хакером iskorpitx) - 17.08.2011, зараз сайт вже виправлений адмінами
• http://www.bcmebli.com.ua (хакером Mr.L4iVe) - 05.11.2011, зараз сайт вже виправлений адмінами