Websecurity - Веб безпека

Минулої осені відбувся масовий взлом сайтів на сервері Укртелекому (в Utel DataCenter). На протязі жовтня-листопада, а також по одному сайту в червні, липні та грудні 2010 року. Нещодавно я вже розповідав про інші масові взломи.

Був взломаний сервер української компанії Укртелеком. Взлом відбувся частково до, а частково після згаданого масового взлому сайтів на сервері Besthosting.

Всього було взломано 427 сайтів на сервері Укртелекому (IP 213.186.117.200). Перелік сайтів можете подивитися на www.zone-h.org. Серед них українські державні сайти ukrreftrans.gov.ua та www.kyivobljust.gov.ua.

Зазначені сайти були взломані в період з 16.06.2010 по 10.12.2010. Дефейси 427 сайтів проведено різними хакерами. Окрім цього було взломано 2 сайти в 2008 і 7 сайтів в 2009 роках (в сумі 436 сайтів).

Більшість сайтів була задефейсена під час декількох масових взломів. Враховуючи велику кількість сайтів на одному сервері та короткий проміжок часу для дефейсу всіх цих сайтів, немає сумнівів, що вони були взломані через взлом серверу хостінг провайдера. Коли через взлом одного сайта, був отриманий root доступ до сервера (через уразливості в програмному забезпеченні самого сервера) та атаковані інші сайти на даному сервері.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://vis-games.com - інфекція була виявлена 08.03.2011. Зараз сайт не входить до переліку підозрілих.
• http://strawbale.ho.ua - інфекція була виявлена 25.03.2011. Зараз сайт входить до переліку підозрілих.
• http://probux.ho.ua - інфекція була виявлена 10.01.2011. Зараз сайт не входить до переліку підозрілих.
• http://programms.ho.ua - інфекція була виявлена 14.03.2011. Зараз сайт входить до переліку підозрілих.
• http://work.ho.ua - інфекція була виявлена 10.01.2011. Зараз сайт не входить до переліку підозрілих.

Враховуючи накопичену мною за 2006-2010 роки інформацію про хакерську активність в Уанеті, я вирішив навести підсумкову інформацію про взломані gov.ua сайти. Наведу порівняльну статистику взломів державних сайтів України за останні роки.

Статистика буде за 2006 - 2010 роки. За останні п’ять років всього було атаковано 126 українських державних сайтів (включаючи взломи сайтів та DDoS атаки). Це без врахування інфікованих gov.ua сайтів, яких, за час моїх досліджень інфікованих сайтів, було виявлено в 2009 році 5 сайтів та в 2010 році 13 сайтів.

За весь 2006 рік в Уанеті було атаковано 23 веб сайти.

За весь 2007 рік в Уанеті було атаковано 13 веб сайтів.

За весь 2008 рік в Уанеті було атаковано 18 веб сайтів.

За весь 2009 рік в Уанеті було атаковано 24 веб сайти.

За весь 2010 рік в Уанеті була атаковано 48 веб сайтів.

Динаміка взломів державних сайтів в Уанеті.

В 2007 році активність спала на 43% порівняно з 2006 роком (спад в 1,77 рази).

В 2008 році активність зросла на 38% порівняно з 2007 роком (зростання в 1,38 рази).

В 2009 році активність зросла на 33% порівняно з 2008 роком (зростання в 1,33 рази).

В 2010 році активність зросла на 100% порівняно з 2009 роком (зростання в 2 рази).

Як видно зі статистики, кількість атак на державні сайти України в останні роки стабільно зростає.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://youtop.biz (хакером iskorpitx) - 04.03.2011, зараз сайт вже виправлений адмінами
• http://medea.com.ua (хакерами з RBH-Crew) - 05.03.2011, зараз сайт вже виправлений адмінами
• http://poport.net (хакерами з RBH-Crew)
• http://oda-service.com.ua (хакерами з RBH-Crew) - 05.03.2011, зараз сайт вже виправлений адмінами
• http://blowrate.com (хакерами з RBH-Crew)

Минулої осені, 30.10.2010 та в деякі інші дні, відбувся масовий взлом сайтів на сервері Besthosting. Нещодавно я вже розповідав про інші масові взломи.

Був взломаний сервер української компанії Besthosting. Взлом відбувся після згаданого масового взлому сайтів на сервері Garant-Park-Telecom.

Всього було взломано 772 сайти на сервері Besthosting (IP 195.248.234.31). Перелік сайтів можете подивитися на www.zone-h.org. Серед них український державний сайт www.difku.gov.ua.

Зазначені сайти були взломані 30 жовтня 2010 року та в деякі інші дні. Дефейси 771 сайту проведено хакерами з 1923Turk і 1 сайту хакерами з -wht-.

Враховуючи велику кількість сайтів на одному сервері та короткий проміжок часу для дефейсу всіх цих сайтів, немає сумнівів, що вони були взломані через взлом серверу хостінг провайдера. Коли через взлом одного сайта, був отриманий root доступ до сервера (через уразливості в програмному забезпеченні самого сервера) та атаковані інші сайти на даному сервері.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://bestofnet.com.ua - інфекція була виявлена 21.03.2011. Зараз сайт не входить до переліку підозрілих.
• http://facebooklogin.io.ua - інфекція була виявлена 16.02.2011. Зараз сайт входить до переліку підозрілих.
• http://mixon.ua - інфекція була виявлена 11.03.2011. Зараз сайт не входить до переліку підозрілих.
• http://dominanta-center.com.ua - інфекція була виявлена 26.02.2011. Зараз сайт входить до переліку підозрілих.
• http://radiorocks.kiev.ua - інфекція була виявлена 20.03.2011. Зараз сайт не входить до переліку підозрілих.

Як і у випадку з іншими веб сайтами, інфіковані сайти facebooklogin.io.ua та radiorocks.kiev.ua також хостить в себе Укртелеком.

В цьому місяці, 05.03.2011, відбувся масовий взлом сайтів на сервері Realon Service. Нещодавно я вже розповідав про інші масові взломи.

Був взломаний сервер української компанії Realon Service. Взлом відбувся після згаданого масового взлому сайтів на сервері Faust.

Всього було взломано 173 сайти на сервері Realon Service (IP 194.54.81.150). Це наступні сайти: dotar.kr.ua, alau.com.ua, alma-taro.ru, andysoftware.ru, asoftware.org.ua, avantes.net, badapps.ru, akwatoria.com, aloha.kiev.ua, 2236161.kiev.ua, art-web.net.ua, 24diplom.com, agrobudtrade.com.ua, amwaymagazin.com.ua, avto-remont.org.ua, buller.kiev.ua, board.canis-club.org, baratameds.com, book-auto.com, boombaster.com, bmfiles.com, canis-club.org, civilcepro.gov.ua, cleverrhythms.kiev.ua, cinemax5d.com, china-on-sale.com, confiskat.in.ua, coalition.mk.ua, dimicandum.com.ua, delice.mk.ua, divainternational.ch, dashaakulova.com, comfortline.kiev.ua, dokumentik.com, diplomrf.com, dives-group.ru, edu-ukraine.com, drugpreguntas.com, el-help.info, elitediscount.net, enoflex.com, este-line.com.ua, familycounseling-odessa.org, fcpolyana.com, eurostyle.net.ua, fci-tech.com, eyvazov-md.com, garant-realty.com.ua, fordodessa.com, evfreesm.com, findbransonperry.com, estet-taxi.com, gek.od.ua, gardpro.com.ua, feyeriya.com, galocamera.co.ua, garmin.mk.ua, ingi.com.ua, hostingmaks.mk.ua, gilles.in, ifnmu.com.ua, interstroy.com.ua, interglobus.com.ua, iqtravel.com.ua, ivestland.ru, imvest.com.ua, kawa4ay.com.ua, kind-heart.info, jdissa.com, karamelka.com.ua, jeans-optom.com.ua, klondaik-engineering.com, izmailtv.com, korea-san.com.ua, knauf.ivestland.ru, kupalnik.mk.ua, kvartiravip.net.ua, l-tour.dn.ua, kulkoff.com, lasante.od.ua, lcc-izmail.org, mamasale.com.ua, liya.net.ua, lider-mebeli.com, mgroup.org.ua, melarhim.com, mir-remonta.kiev.ua, mlm4you.ru, lipowl.com, mlmcompany.ru, mobilife.com.ua, mobilacs.org.ua, moybb.com.ua, my4erdak.com, newfxgames.com, munten.ru, oemoil.net, na2se4ka.com, nikomramor.com, ochakovsea.kiev.ua, oknaport.com, mylifestyle.com.ua, nikofilm.com.ua, one-shot.com.ua, pellets.mk.ua, perlyna.lviv.ua, oniks-pf.com.ua, panacey.com.ua, ortolutsk.com, pellets.biz.ua, otsyideti.org, partner-business.com.ua, predictions-fate.com, polelya.com.ua, prolisok.kiev.ua, pri4al.com, saltroom.com.ua, satava-trans.com.ua, romashka.mk.ua, vanilla-man.com, soblazn.od.ua, shkola-slova.com.ua, thermomix.mk.ua, speleocamera.com.ua, sociolab.net, rmesenv.com, racingstream.net, tkachenkoalex.net, veneda.com.ua, spbdiplom.com, profi-kursi.com, speleocamera.kiev.ua, tneu.com.ua, speleocamera.co.ua, respect.mk.ua, salsa-dance.com.ua, smgzone.com, ruseries.com, science-house.odessa.ua, topseries.net, saltlamp.org.ua, shalemonblan.com.ua, toy-dom.com, scorini.com, shock-anti.com, saki-crimea.com.ua, shop.prodecoupage.com, sticker-online.net, stroyremont.in.ua, tvoymalysh.in.ua, scorini.com.ua, terazoid.com.ua, talk.mk.ua, skazka.mk.ua, sutrakiev.com.ua, prospekt-realty.com, silversphinx.com.ua, tokio.com.ua, promizol.mk.ua, sidecarmx.com.ua, rfdiplom.com, remont-pro.com.ua, rfdocument.com, safedisk.od.ua, sitecheckup.net, radiostanciya.com, weles.com.ua, webomarket.mk.ua, xtremeartclub.net, vetka.com.ua, wellspa.com.ua, weddinggallery.com.ua, wellness-spa.com.ua. Серед них український державний сайт civilcepro.gov.ua.

Всі зазначені сайти були взломані 5 березня 2011 року. Дефейси 173 сайтів проведено хакерами з RBH-Crew.

Враховуючи велику кількість сайтів на одному сервері та короткий проміжок часу для дефейсу всіх цих сайтів, немає сумнівів, що вони були взломані через взлом серверу хостінг провайдера. Коли через взлом одного сайта, був отриманий root доступ до сервера (через уразливості в програмному забезпеченні самого сервера) та атаковані інші сайти на даному сервері.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://pfukonotop.hmarka.net (хакером Nothing) - взломаний державний сайт (на безкоштовному хостінгу)
• http://nissi.com.ua (хакером Seif Jelidi)
• http://www.poetryclub.com.ua (хакером Samar Obrin) - 12.03.2011, зараз сайт вже виправлений адмінами
• http://mobile-notes.net (хакерами з RBH-CREW)
• http://timo.kiev.ua (хакерами з Black HaT Group)

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://strongsoft.com.ua - інфекція була виявлена 04.03.2011. Зараз сайт не входить до переліку підозрілих.
• http://mylink.com.ua - інфекція була виявлена 01.03.2011. Зараз сайт входить до переліку підозрілих.
• http://zarabotalo.at.ua - інфекція була виявлена 29.01.2011. Зараз сайт не входить до переліку підозрілих.
• http://almandry.com.ua - інфекція була виявлена 04.03.2011. Зараз сайт входить до переліку підозрілих.
• http://areasoft.com.ua - інфекція була виявлена 24.02.2011. Зараз сайт не входить до переліку підозрілих.

Як і у випадку з іншими веб сайтами, інфіковані сайти mylink.com.ua та almandry.com.ua також хостить в себе Укртелеком.

У жовтні місяці відбувся масовий взлом сайтів на сервері Garant-Park-Telecom. Це російський хостер, але багато сайтів з України. Нещодавно я вже розповідав про інші масові взломи.

Був взломаний сервер російської компанії Garant-Park-Telecom. Взлом відбувся після згаданого масового взлому сайтів на сервері Freehost.

Всього було взломано 246 сайтів, з них 218 українських сайтів на сервері Garant-Park-Telecom (IP 89.111.170.128). Це наступні сайти: cayman.raskone.silver.biz.ua, convictus.kiev.ua, convictus.com.ua, chuguy.make.silver.biz.ua, doshkilnyatko.com.ua, elistom.frcbc.silver.biz.ua, carpeta.com.ua, cargogruzcom.leon49.silver.biz.ua, bypillsn.silver.biz.ua, biotech-system.make.silver.biz.ua, bimboka.dp.ua, grafskates.silver.biz.ua, imw.com.ua, duschy.com.ua, cult.sk.silver.biz.ua, green-wheel.com.ua, homeopat.dp.ua, gabro.com.ua, edoctor.com.ua, live.toni.silver.biz.ua, online.roman2.silver.biz.ua, apkservice.com.ua, andariys.monument.com.ua, adv-dva.sk.silver.biz.ua, abdomed.com.ua, acg.com.ua, kamerton.in.ua, 4dkino-com.koreyko.silver.biz.ua, manzuk.silver.biz.ua, lemonchic.com.ua, nika.dn.ua, andriy2.silver.biz.ua, dj.vadimzp2.silver.biz.ua, alexroll.silver.biz.ua, bankomat.convictus.org.ua, baz.kiev.ua, bazoka.silver.biz.ua, newrealtor.contur.net.ua, carpeta.ua, churchan.silver.biz.ua, climate.lviv.ua, contur.org.ua, contur.net.ua, com.victorcg.silver.biz.ua, conturorg.contur.net.ua, convictusnet.convictus.org.ua, convictus.org.ua, dnepr-co-ua.koreyko.silver.biz.ua, digestin.com.ua, dizel.silver.biz.ua, dmitriys.silver.biz.ua, dom.silver.biz.ua, domomania.contur.net.ua, domus.biz.ua, doshkilnyatko.contur.net.ua, dti.com.ua, eflet.silver.biz.ua, edoctor.webvideo.com.ua, eflet2.silver.biz.ua, o-hutorok.lnxd.silver.biz.ua, elistom.com.ua, psytron.com.ua, eugenevi.silver.biz.ua, etalon.uz.ua, eye.poltava.ua, fiat-lux.com.ua, forsale.co.ua, forofis.com.ua, lifeinmo.silver.biz.ua, roman2.silver.biz.ua, forsale.lviv.ua, frcbc.silver.biz.ua, geo-vision.com.ua, gbyte.silver.biz.ua, gindia.silver.biz.ua, gotovimvodu.com.ua, group.irochkon.silver.biz.ua, ibanez.silver.biz.ua, gts.org.ua, imwuser1.lnxd.silver.biz.ua, inlanger2.silver.biz.ua, iyt.com.ua, ivanushk.silver.biz.ua, iyt.yachtcharter.com.ua, sk.silver.biz.ua, sonyashnik.kiev.ua, nazard.silver.biz.ua, statusatm.com.ua, stroy.irochkon.silver.biz.ua, shlyah.contur.net.ua, td-himinvest.com.ua, irochkon.silver.biz.ua, kg-dp-ua.koreyko.silver.biz.ua, konstantin.avsz.silver.biz.ua, koreyko.silver.biz.ua, toni.silver.biz.ua, laminatparket.contur.net.ua, leon49.silver.biz.ua, letmesee.sk.silver.biz.ua, ttholod.com.ua, live.roman2.silver.biz.ua, lnxd.silver.biz.ua, main.victorcg.silver.biz.ua, makintosh.ks.ua, make.silver.biz.ua, maks-tour.com.ua, test1.nika.dn.ua, test.nika.dn.ua, ustav.silver.biz.ua, masterprint.com.ua, teploagent.com.ua, usedboats.com.ua, monument.com.ua, mykolaivka-rada.nika.dn.ua, montessori.org.ua, nacional.contur.net.ua, net.victorcg.silver.biz.ua, newboats.com.ua, newboats.yachtcharter.com.ua, newborn.silver.biz.ua, newrealtor.com.ua, vika.vadimzp2.silver.biz.ua, npoenergy.com.ua, olside.silver.biz.ua, orfey.acg.com.ua, orfey.com.ua, yachtmarina.yachtcharter.com.ua, parketmaster.com.ua, ozerniyhutorok.lnxd.silver.biz.ua, patmari.odessa.ua, pelmen.silver.biz.ua, pavlo.com.ua, pavlo.webvideo.com.ua, plantro.com.ua, polorsade.raskone.silver.biz.ua, prestige-life.com.ua, privatblog.vadimzp2.silver.biz.ua, pumping.com.ua, raskoua.raskone.silver.biz.ua, rasko.ua, raskone.silver.biz.ua, reebok.silver.biz.ua, resume.co.ua, retriver.net.ua, review.vadimzp2.silver.biz.ua, retion.silver.biz.ua, robingood.contur.net.ua, robingood.com.ua, rudi.dizel.silver.biz.ua, snooker.in.ua, snooker.contur.net.ua, startinukraine.webvideo.com.ua, stas.standov.silver.biz.ua, artfresh.silver.biz.ua, standov.silver.biz.ua, suvenirtr.silver.biz.ua, sunnyart.make.silver.biz.ua, ticketcom.acg.com.ua, tofs.roman2.silver.biz.ua, asu.silver.biz.ua, ukrfer.silver.biz.ua, unberto2.silver.biz.ua, usedboats.yachtcharter.com.ua, vadimzp.silver.biz.ua, vadimzp2.silver.biz.ua, venol-oil.silver.biz.ua, venol.com.ua, victorcg.silver.biz.ua, vitakor.silver.biz.ua, vitohaus.silver.biz.ua, august.silver.biz.ua, art-rcom.contur.net.ua, www1.elistom.com.ua, yachtmarina.com.ua, yachtcharter.com.ua, zdorovka.lnxd.silver.biz.ua, zoj.com.ua, avtoguru.contur.net.ua, artgallery.contur.net.ua, ask-complex.ask-complex.com.ua, arm-dp-ua.koreyko.silver.biz.ua, aquaritm.koreyko.silver.biz.ua, ask-complex.kiev.ua, audioline.com.ua, aviasvit.olside.silver.biz.ua, avsz.silver.biz.ua, avsn.avsz.silver.biz.ua, artland4you.videoxxi.silver.biz.ua, apkservicecomua.lnxd.silver.biz.ua, avtey.com.ua, www-promin-info.make.silver.biz.ua, garden-ua.com, skulptura-granit-mramor.monument.com.ua, art-r.com.ua, sculpture-granit-mramor.monument.com.ua, aspi.in.ua, pottery-park.koreyko.silver.biz.ua, artgallery.in.ua, provodov-net-ua.koreyko.silver.biz.ua, ask-complex.com.ua, nord-1-dp-ua.koreyko.silver.biz.ua, yonex.com.ua, fast-start-crimea-ua.make.silver.biz.ua, suvenir.com.ua, cinematix4d-com.koreyko.silver.biz.ua, turboam.com.ua, cinematix-org.koreyko.silver.silver.biz.ua, tess.in.ua, tess.contur.net.ua, alant-biz-ua.koreyko.silver.biz.ua, akalaboratory-dp-ua.koreyko.silver.biz.ua, synergos.com.ua, alina-karina-com.koreyko.silver.biz.ua, sgifts.com.ua, master-biz-ua.koreyko.silver.biz.ua, silver.biz.ua, foreign-realestate.koreyko.silver.biz.ua, www.slavuta-mvk.gov.ua. Серед них український державний сайт www.slavuta-mvk.gov.ua (дуже дивно бачити gov.ua сайт, що хоститься в іншій державі - всі державні сайти повинні хоститися у власній державі).

Всі сайти були взломані 12 жовтня 2010 року. Дефейси 217 (245) сайтів проведено хакером GHoST61 і 1 сайта хакером з By_aGReSiF.

Враховуючи велику кількість сайтів на одному сервері та короткий проміжок часу для дефейсу всіх цих сайтів, немає сумнівів, що вони були взломані через взлом серверу хостінг провайдера. Коли через взлом одного сайта, був отриманий root доступ до сервера (через уразливості в програмному забезпеченні самого сервера) та атаковані інші сайти на даному сервері.