Hakovan sajt odeljenja za visokotehnološki kriminal

[vidak]

@ivanhoe

Ako je napad radio preko Joomle, mogao je da koristi/napravi skriptu koja će koristiti naša imena (mika, cica, zika...) i admin user + neka reč iz rečnika našeg jezika. Predpostavimo da je user mika koristio password 'merdevine' a ona se ne nalazi u engleskom rečniku. Ne znam da li postoji na netu neka skripta koja radi to za naš jezik pa bi lik morao sam da je pravi, a to ukazuje da je lik daleko od amaterizma. Ukoliko je ovako uhakovao Joomlu onda bi logovi trebali da budu solidno veliki (morao bi solidan broj puta da pokuša), a tu je problem vremena koje mu je potrebno za pristup putem anonymous proxy servera. Solidno velike logove su morali da uoče, a opet, ako je znao ime nekog od korisnika sistema koji nije admin (predpostavka je da je admin imao iole kompleksniji pass) onda mu je pola posla bilo odrađeno. U tom slučaju ako bi unapred znao neki user, lik bi imao dodirnih tačaka sa vtk i eventualno sa ocistimosrbiju.rs.

Druga opcija jeste da je Joomla imala neku komponentu koja je bila šuplja i da je tu rupu iskoristio za pristup Joomla.

Treća opcija je da je Joomla nije odavno bila update-ovana pa da je iskoristio neku od poznatih rupa. Pitanje je da li je na sajtu bio omogućen front-end user login pa mu je to olakšalo posao, jer mi se čini da odavno nije bila neka rupa koja dovodi do pribavljanja user/password a da je na back-end strani.

Ove tri opcije podrazumevaju da je nekako došao do kombinacije user/pass ili je uspeo da promeni pass za nekog od usera čiji je naziv znao.

Ono što povezuje napad na ocistimosrbiju.rs i vtk jeste emotivna komponenta napada t.j. izvrgavanje ruglu i navlačenje neiskusnih da pristupe uhakovanom sajtu. To nije samo jedna sličnost već tri a to znatno povećava šansu da je u pitanju ista osoba (treća sličnost je da su oba sajta državna).

Postoji mogućnost i da je putem nekog od protokola pristupio serveru. Složićeš se da je za to ipak potrebno dosta znanja i iskustva pa mi je teško da poverujem da bi se neko kompromitovao rušeći Joomla ako već ima ceo sistem na izvolte.

Moguća je i opcija da je lik znao kombinaciju user/pass i da mu ništa od ovog nije bilo potrebno, a u ovoj varijanti šanse su mu najslabije.

Isto tako moguće je da je neko napipavao password za admin user-a ali ako uzmemo kao tačnu predpostavku da je isti lik odradio ocistimosrbiju.rs i vtk mala je verovatnoća da mu se dva puta posrećilo, što znači da je nestručan a opet socijalna komponenta je u oba slučaja odlično odrađena.... hmmm.....

[LiquidBrain]

Vidak,
ovo nema veze sa joomlom, drupalom, wordpressom ili babinim pekmezom. Ovo ima veze sa internim sigurnosnim polisama i praksama. Da iole postoje nekakve polise koje moraju da se postuju, ne verujem da bi neko ostavio uobicajene lozinke kao sto su admin12345 ili 12345...

Da bi se sve to dovelo u red potrebna je ogromna podrska iz menadzmenta firmi ili glavno komandujucih iz institucija, i to je posao koji ne obuhvata samo proces pisanja tih polisa, te polise je potrebno i prakticno testirati, podici svesnost o sigurnosti kod zaposlenih, prilagodjavati, i na kraju forsirati primenu istih...

A pre toga, treba uraditi klasifikaciju vrednosti, i sta treba da se cuva, i koliko kesa sa druge strane uloziti u to...

[ppavlovic]

A zar nije praksa da se kod takvih sajtova ogranici pristup sa eksternih ip adresa, tj. dozvoli samo sa odredjenog subneta ? Micim, onako ...

[nn.nn]

Originalno napisao vidak

gledam malo pa razmišljam..
izgleda da uopšte nisu pravili backup Joomle. Ni baze, ni fajlova. Da su imali backup verovatno bi odmah digli predhodnu verziju, osim ukoliko ne veruju da je i neka od predhodnih verzija kompromitovana pa ne žele da se dodatno izlažu opasnosti sve dok ne utvrde u kom trenutku je sistem kompromitovan... bla, bla, bla...

... ukoliko je napad na oba sajta bio centarlizovan mogli su proći meseci pre napada tako da bi prava paranoja bila 'koja verzija backup-a nam je čista?'...

Nema neprobojnih sajtova. Ali... backup mora uredno da se pravi, backup može (brzo) da se proveri, password može da se zameni, admin pristup može da se ograniči na poznate IP adrese, sajt može da se privremeno obori, reakcija na ovakve situacije bi morala da bude brža. Ukratko, po informacijama koje su nam na raspolaganju, zaštita datog sajta je mogla i morala mnogo bolje da bude odrađena.

... meni ni jedna informacija do sada ne govori da su iz vtk amateri...

Meni, naprotiv, nijedna informacija do sada ne govori da su profesionalno pristupili poslu. Ergo...

[dinke]

Originalno napisao nn.nn

Meni, naprotiv, nijedna informacija do sada ne govori da su profesionalno pristupili poslu. Ergo...

Koliko sati je sajt bio "haknut"? Mediji su u 4pm vec izvestili o tome a sajt su sredili tek sutradan. Ako ovo nije amaterizam onda ne znam sta je!

[Nemanja Avramović]

sredili? nisu ga još ni sredili, samo zamenili index, dok nađu nekog ko ume da instalira joomlu xD

[vidak]

Originalno napisao dinke

Koliko sati je sajt bio "haknut"? Mediji su u 4pm vec izvestili o tome a sajt su sredili tek sutradan. Ako ovo nije amaterizam onda ne znam sta je!

Tačno tako. Ovo ne može ni jednim drugim razlogom da se objasni osim amaterizmom.

[ivanhoe]

Originalno napisao vidak

@ivanhoe
Ako je napad radio preko Joomle, mogao je da koristi/napravi skriptu koja će koristiti naša imena (mika, cica, zika...)

postojao je dictionary za JackTheRipper sa ex-yu recima i imenima jos tamo negde oko 2000., secam se da je mogao da se nadje na news-u za download, pretpostavljam da su ga do sad znacajno usavrsili i dopunili..

ne kazem, mozda je ovo zaista neki opasan lik, ali hocu da kazem da ne postoji nikakav razlog da nije mogao neki script kiddie da izvede isto to, uz malo zdravog razuma i vestine da sklopi par alata i upotrebi ih kako treba...

uostalom videcemo, mozda anti-vtk ekipa spere ljagu sa imena, pa ga uhapse...

[mangia]

ja sam uradio jednu aplikaciju koja se koristi za mail server. Skoro sam primjetio da se uvale botovi i šalju mailove ...

Nakon toga više nema kilavih lozinki... minimalno 8 karaktera, veliko slovo, cifra, malo slovo... Ajoj kao da sam im noge odsjekao i tjeram ih da trče... Pa jel mora tako komplikovana lozinka, pa kao da smo NASA,....

[oksite]

Uhapseni hakeri sajta Tuzilastva

Prvo je to bio neki "stari, neaktivni sajt", a sada:

Sumnja se da su imali nameru da onemoguće postupak elektronske obrade i prenosa podataka koji su od značaja za rad Odeljenja za borbu protiv visokotehnološkog kriminala Višeg javnog tužilaštva u Beogradu.

Koja tuga, nekada stvarno mislim da nema normalnog coveka a da je deo aparata vlasti u zemlji.