הצד הטכני של התקפת הסייבר

Forbidden
You don't have permission to access /_media/images/q.mp4 on this server.
Additionally, a 403 Forbidden error was encountered while trying to use an ErrorDocument to handle the request.

כאן:
https://www.bayit-bakfar.co.il/

dovid

@yossiz אמר בהצד הטכני של התקפת הסייבר:

אתה טוען שחולשה באחד מהאתרים שיושבים על האחסון מסכנת את כולם?
אני מקווה שלא...

אשמח אם תמצא לי הסבר חילופי.
תעדכן מהר, כי אם כן מה שכתבתי ימצא כהשמצה ואצטרך לתקן זאת.

yossiz

@dovid
¯/_(ツ)_\¯

נחכה ל-post-mortem מגורם שמעורב בנושא (שמן הסתם לא תבוא...)

WWW

בדקתי כעת הרבה אתרים ברשימת הלקוחות של uPress , רובם לא עובדים.
מעניין אם איחוד הצלה מתנת חיים וכו' גם יושבים על uPress?

ב.ל

קיבלתי:
רן בר זיק בטוויטר:
‏אתרים רבים של לקוחות של חברת יופרס - הורדו מהאוויר. חלק מהם הושחתו (לא נפרצו) על ידי האקרים משועממים עם הסרטונים הדביליים שלהם.

ההודעה שפרסמה יופרס ללקוחות:

מה שמעניין הוא שהדף שנכנס במקום האתר מכיל קוד שמצלם את המשתמש (צריך לאשר מצלמה) ושולח את המידע לסקריפט בספק האחסון (שכבר ירד משם).

‏והנה עוד כמה פרטים. שימו לב - פרטים ראשוניים שהוקלדו תחת לחץ.
התוקפים החליפו בכל האתרים את הקובץ wp-includes/version.php - קובץ ליבה של וורדפרס שנטען בכל כניסה לאתר ומכיל ברגיל הגדרות של גרסאות בקובץ דומה אבל עם שתי תוספות לא חביבות.

כזו שכוללת את קוד ההשחתה שלהם >>

‏>> 2. תוספת שניה ולא חביבה מוחקת את מסד הנתונים של האתר. לחלוטין. אין לי את הקוד אבל יש לי צילום מסך. אפשר לראות את זה שם בבירור.

אנשים שמוקדם בבוקר עלו על זה והחליפו את הקובץ בקובץ תקין דיווחו שעד לפני שעה התוקפים שינו שוב את הקובץ. כלומר היתה להם גישה לעשות את זה >>

‏>> ליופרס יש כמה אתגרים - הראשון הוא להבין מאיפה התוקפים חדרו, השני הוא לשחזר את wp-includes/version.php לכל האתרים שלהם והשלישי הוא לשחזר את מסדי הנתונים של כל האתרים. במקביל להתמודד עם פניות של המון המון לקוחות.
בינתיים? הם מאשימים את האיראנים. זה תמיד עובד >>

‏>> אם נכנסתם בטעות לאתר שנפרץ - לא נגרם נזק (גם אם אישרתם את המצלמה). צאו ממנו.
אם אתם בעלי האתר - אין לכם כרגע מה לעשות. יופרס טענו בהודעה שלהם שיש להם גיבויים.
וכן, מערך הסייבר יודע מזה - אין מה להתקשר אליהם.
ולא, לא בטוח שזה האיראנים ובדרך כלל מדינות לא עובדות ככה. >>

‏>> האם לעזוב את יופרס, לתבוע אותם? לא. תקלות כאלו יכולות לקרות לכל אחד. קחו אוויר, הרבה אוויר. חברה נמדדת באיך היא מגיבה לאירוע כזה. להיות שקופים כלפי הלקוחות, לפרסם דו״ח פורנזי מסודר ולעמוד מאחורי הבעיה הן מה שהחברה צריכה. בוא נקווה שזה מה שהם יעשו.

מקור:
https://twitter.com/barzik/status/1263386043711094784?s=19

ש.ב.ח.

@WWW אמר בהצד הטכני של התקפת הסייבר:

השאלה העיקרית, מה ההסבר שפרצו בעיקר לאתרים חרדיים?

הסבר מפולסף:
החרדים בוני האתרים בוורדפרס ברובם לא יודעים חצי מילה באנגלית... זיל דו"ק ותבין

dovid

@ש-ב-ח זה לא בוני אתרים חרדים,
במקרה אחד לפחות שקשור אלי אישית זה חילונים למהדרין.
הלקוח חרדי.

ש.ב.ח.

@dovid
לא הכללתי
רק הסברתי למה זה יכול להיות שהרוב שם אתרים חרדים (בהרבה מקרים הבונה הוא גם חרדי)

אני אישית החלפתי את הקבצים ששונו בהתקפה והבוקר זה עבד יפה ואילו עכשיו האתר נסגר טוטלי.... אפ' את העמוד נחיתה היפה שלהם אין, פשוט אין גישה...

בטיפשוטי מרוב לחץ אפי' לא גיביתי את הקבצים.. ועכשיו אין אליהם גישה...

dovid

@ש-ב-ח
כל האתרים שנפגעו כולם של יופרס, שזה אומר שהחולשה היא באחסון.
@WWW ציין שמעניין שרוב הנפגעים חרדים, במילים אחרות רוב לקוחות יופרס חרדים.
אין שום קשר למי פיתח את האתר.

avr416

Upress זה לאו דווקא חרדים, אלא אחסון מנוהל שמותאם לוורדפרס עם חוות שרתים בישראל.
מה שמשפיע על המהירות ולכן יש להם הרבה הרבה לקוחות ישראלים למיטב ידיעתי, כולל חילונים למהדרין..

כמו ש@dovid אמר כנראה פרצו לשרתים עצמם..

nigun

מישהו יודע האם מדובר רק בשרתים שיתופיים או גם בVPS?
אם זה רק שיתופי זה נראה לי די פשוט להבין מה הם עשו אחרי שהם פרצו.
אם זה גם VPS אז מעניין מה הם עשו שם?

dovid

@nigun מה ההבדל?

WWW

@dovid אמר בהצד הטכני של התקפת הסייבר:

@nigun מה ההבדל?

כנראה הכוונה איך פרצו לכל המכונות.

dovid

@WWW אז שיתופי הוא מתכוון שכל האתרים על אותו מכונה.
אם ככה יש להם מכונה לא רעה כי מדובר באתרים גדולים.
בכל אופן אם מדובר ברשת מקומית ויש גישה ממחשב למחשב, והגישה והאתר רצים באותו רמת משתמש, אז כן - יש גישה לעשרים מכונות ביחד.

תחומים - פורום חרדי מקצועי

הצד הטכני של התקפת הסייבר