Webstation gehackt

[Patrick80]

Ik kwam er vandaag achter dat er een vreemd bestand tussen mijn website bestanden stond.
Het bleek dat ze mijn website gehackt hadden.
De bestandsnaam was ganteng.htm
Zie het plaatje van een screenshot.
Hoe kan ik dit in de toekomst voorkomen

[JeroenVanOmme]

Heb je Auto-block aan staan? Dan voorkom je in ieder geval dat kwaadwillenden blijven proberen je login-gegevens te raden. Sowieso zou ik al je wachtwoorden veranderen.
Maar het kan natuurlijk zijn dat deze grappenmakers een exploit weten die al de ingebakken beveiligingen van Synology omzeilt...

[Undertaxxx25]

Wat is nou de beste optie voor auto-block ? 5 pogingen op 5 min. of 5 pogingen op 30min ? Heb laatste tijd veel last van inbrekende chinezen...

[JeroenVanOmme]

Het script dat probeert binnen te komen hamert er flink op los, die zal 5 pogingen in een paar seconden uitvoeren. Dus of je dan 5 of 30 minuten instelt maakt niet zoveel uit.
Ikzelf heb het aantal pogingen op 3 en de tijd op 5 minuten.

[Grofweg]

Ik kwam er vandaag achter dat er een vreemd bestand tussen mijn website bestanden stond.
Het bleek dat ze mijn website gehackt hadden.
De bestandsnaam was ganteng.htm
Zie het plaatje van een screenshot.
Hoe kan ik dit in de toekomst voorkomen

Heeft dit ook niet te maken met je rechten? Bij Wordpress is bv elke map met chmod 755 en de bestanden op chmod 644 ingesteld.

[Undertaxxx25]

Had eerst ook 5 pogingen op 5min. maar ze zijn slim genoeg en kennen het Synology systeem ook wel dus ze wachten gewoon na x aantal pogingen x aantal tijd. Vandaar dat ik nu 5 op 30min heb genomen, zo zal het WAN IP toch sneller geblokkeerd worden.

[Patrick80]

Heb je Auto-block aan staan? Dan voorkom je in ieder geval dat kwaadwillenden blijven proberen je login-gegevens te raden. Sowieso zou ik al je wachtwoorden veranderen.
Maar het kan natuurlijk zijn dat deze grappenmakers een exploit weten die al de ingebakken beveiligingen van Synology omzeilt...

Dit heb ik aanstaan op 2 aanmeldpogingen binnen 60min

[Patrick80]

Ik kwam er vandaag achter dat er een vreemd bestand tussen mijn website bestanden stond.
Het bleek dat ze mijn website gehackt hadden.
De bestandsnaam was ganteng.htm
Zie het plaatje van een screenshot.
Hoe kan ik dit in de toekomst voorkomen

Heeft dit ook niet te maken met je rechten? Bij Wordpress is bv elke map met chmod 755 en de bestanden op chmod 644 ingesteld.

Heb dit even nagekeken, mappen staan op 755 en bestanden staan op 777

[Richard67]

Ik kwam er vandaag achter dat er een vreemd bestand tussen mijn website bestanden stond.
Het bleek dat ze mijn website gehackt hadden.
De bestandsnaam was ganteng.htm
Zie het plaatje van een screenshot.
Hoe kan ik dit in de toekomst voorkomen

Heeft dit ook niet te maken met je rechten? Bij Wordpress is bv elke map met chmod 755 en de bestanden op chmod 644 ingesteld.

Heb dit even nagekeken, mappen staan op 755 en bestanden staan op 777

Je weet nu niet of je zelf de rechten te ruim hebt gezet (777) of dat de hackers dat hebben gedaan. Eigenlijk zou je de complete website vanuit een schone backup moeten restoren of anders compleet opnieuw moeten opzetten met de juiste rechten. De site is gecompromitteerd.

Ik gebruik zelf een handvol plugins om de beveiliging wat beter te krijgen van de website:
http://wpantivirus.com/
http://bit51.com/software/better-wp-security/
http://www.wordfence.com/
http://www.seoegghead.com/software/wordpress-firewall.seo
http://lifeinthegrid.com/labs/duplicator/

Al deze plugins zijn via de PlugIn manager van WP te installeren. Misschien dat je met behulp van deze tools de boel wat kunt opschonen. (WordFence en Antivirus)

[Tien]

kreeg vandaag een high important mail van Synology met de aanbeveling 4.3/3827 erop te zetten en als die er al op staat, dit handmatig nogmaals te doen (here to REINSTALL DSM 4.3-3827)

[Patrick80]

kreeg vandaag een high important mail van Synology met de aanbeveling 4.3/3827 erop te zetten en als die er al op staat, dit handmatig nogmaals te doen (here to REINSTALL DSM 4.3-3827)

En wat geven ze als reden, dat als je hem er al op hebt staan dat je het nogmaals moet doen ?

[Grofweg]

 
DSM Important Update
Dear Synology users,

Synology® confirmed known security issues (reported as CVE-2013-6955 and CVE-2013-6987) which would cause compromise to file access authority in DSM. An updated DSM version resolving these issues has been released accordingly.
The followings are possible symptoms to appear on affected DiskStation and RackStation:

Exceptionally high CPU usage detected in Resource Monitor:
CPU resource occupied by processes such as dhcp.pid, minerd, synodns, PWNED, PWNEDb, PWNEDg, PWNEDm, or any processes with PWNED in their names
Appearance of non-Synology folder:
An automatically created shared folder with the name “startup”, or a non-Synology folder appearing under the path of “/root/PWNED”
Redirection of the Web Station:
“Index.php” is redirected to an unexpected page
Appearance of non-Synology CGI program:
Files with meaningless names exist under the path of “/usr/syno/synoman”
Appearance of non-Synology script file:
Non-Synology script files, such as “S99p.sh”, appear under the path of “/usr/syno/etc/rc.d”
If users identify any of above situation, they are strongly encouraged to do the following:

For DiskStation or RackStation running on DSM 4.3, please follow the instruction here to REINSTALL DSM 4.3-3827.
For DiskStation or RackStation running on DSM 4.0, it’s recommended to REINSTALL DSM 4.0-2259 or onward from Synology Download Center.
For DiskStation or RackStation running on DSM 4.1 or DSM 4.2, it’s recommended to REINSTALL DSM 4.2-3243 or onward from Synology Download Center.
For other users who haven’t encountered above symptoms, it is recommended to go to
DSM > Control Panel > DSM Update page, update to versions above to protect DiskStation from malicious attacks.

Synology has taken immediate actions to fix vulnerability at the point of identifying malicious attacks. As proliferation of cybercrime and increasingly sophisticated malware evolves, Synology continues to casting resources mitigating threats and dedicates to providing the most reliable solutions for users. If users still notice their DiskStation behaving suspiciously after being upgraded to the latest DSM version, please contact security@synology.com.

Sincerely,
Synology Development Team


 
Copyright © 2014 Synology Inc. All Rights Reserved. All other product names and company names
or logos mentioned in the e-mail are the properties of their respective owners
www.synology.comPrivacy Policy
 
[[[Er wordt dus niet echt een reden gegeven]]]

[Patrick80]

Bedankt, maar geeft wel een hoop duidelijkheid van mijn probleem.
ga er meteen mee aan de slag