Zo af en toe komen wij, Oxilionen, een virus/worm/mallware tegen dat invloed kan hebben op uw hostingomgeving. Zo hebben we al een aantal varianten gehad van het Gumblar virus, en sinds kort een nieuwe variant: sidename.js mallware. Regelrechte puinhoop op de site als je niet alert bent. Wat is het? Hoe herken je het? Wat is de volgende stap?

Wat is het?
De mallware zorgt ervoor dat je website wordt aangepast en een javascript inlaadt waarmee ze feitelijk je hele website over kunnen nemen en de mallware door kunnen verspreiden, zodat het probleem zich als een olievlek over het internet gaat verspreiden. Het leest je FTP-gegevens uit (waar en hoe is nog niet duidelijk voor mij) en maakt vervolgens verbinding met de FTP-server. Het kijkt welke bestanden er staan en past veel bestanden aan zoals de index.php, diverse andere .htm(l) bestanden en een .htaccess bestand. Hij voegt een stukje code toe aan laatstgenoemde en als het bestand niet bestaat, maakt hij het aan. Daarnaast upload hij een bestand dat google_verify.php heet.

<IfModule mod_php5.c>
php_value auto_append_file "google_verify.php"
</IfModule>

<IfModule mod_php4.c>
php_value auto_append_file "google_verify.php"
</IfModule>

Dit script doet niet veel anders dan dat hij de inhoud van google_verify.php toevoegt aan de PHP-bestanden die worden geserveerd. Daar staat de troep dus in.

Hoe herken je het?
Waarschijnlijk eerst aan dat je website raar doet. Javascript dat niet meer werkt, terwijl je misschien in de broncode van een bestand niet direct kan vinden waarom. Je kunt in de FTP-logs terugvinden dat er wijzigingen zijn gedaan en welke bestanden zijn aangepast. Het vervelende is dat de wijzigingen dus worden gedaan vanaf je eigen IP-adres. Zo heeft afscherming op basis van IP + user/pass dus geen extra waarde.

Hoe voorkom je het?
Gebruik een Apple of een Linux machine. Of is dat flauw? Ja, denk het wel. Ik weet niet eens of dat het probleem oplost. Je voorkomt het met een goede virusscanner en een goed beveiligingsbeleid. Geef niet zomaar aan alle medewerkers een FTP user en pass. Wees hier zorgvuldig mee.

Wat is de volgende stap?
De eerste versie van Gumblar las de bestanden van bekende FTP-clients uit en stuurde die door naar een centrale plek. Vanaf hier werden alle websites aangepast. De oplossing was makkelijk: geen wachtwoorden meer opslaan.
Toen kwam de nieuwe versie uit van Gumblar en keek de mallware digitaal met je mee tijdens het inloggen. Verzamelde die gegevens en stuurde ze weer door met hetzelfde resultaat. Oplossing was onhandig, maar makkelijk: wachtwoorden niet opslaan en restricties op basis van IP m.b.t. FTP-logins (kon alleen voor eigen servers).

De meest recente stap is dus om ook het IP van de geinfecteerde computer te gebruiken, door het vanaf die pc plaats te laten vinden. Oplossing? FTP uitzetten en op andere manieren je data overbrengen. Of je computer schoon houden natuurlijk.

Hebben jullie er al ervaring mee? Wat doe je er tegen?