[security] NeverEverNoSanity WebWorm

[larsneo]

wie die meisten ja zwischenzeitlich hoffentlich mitbekommen haben, läuft derzeit eine ziemlich massive angriffswelle auf phpBB2 boards.

an dieser stelle eine kurze erklärung, was da tatsächlich passiert:
- über google.com wird nach urls gesucht, die 'viewtopic.php' enthalten
- über system() bzw. fwrite(fopen()) wird unter ausnutzung des highlight exploits versucht, eine kopie des wurmcodes zur weiteren verbreitung anzulegen
- als schadroutine werden dateien mit endungen .htm, .php, .asp, .shtm, .jsp und .phtm durch veränderte inhalte ersetzt

ergo:
- wer phpBB 2.0.11 einsetzt, sollte aktuell nicht gefährdet sein
- wer frühere versionen einsetzt, sollte unbedingt und direkt den unter http://www.phpbb.com/phpBB/viewtopic.php?f=14&t=240513 beschriebenen fix anwenden (und danach baldmöglichst auf 2.0.11 aktualisieren)
- betroffene installationen sollten durch ein backup des filesystems wieder in gang gebracht werden können

[Sorcio]

Ziemlich übel, hat schonmal jemand herausgefunden wer der Autor ist?
Mich würde es nicht wundern, wenn es jemand neidischer vond er Forensoftware Konkurrenz wäre.

[itst]

Danke für diese Info Andreas.

[Cannelloni]

Hi!
Hatte das phpBB2-Forum vor einigen Jahren mal für meine Zivi-Stelle eingerichtet und seit dem wurde da nicht mehr viel getan...
Jetzt ist das Forum Opfer des Wurms geworden...
http://forum.schueca.de
Leider gibts keine Backups, aber kann man denn nicht die selbe Sicherheitslücke nutzen um das ganze wieder zurückzuändern?
Wäre für jede Hilfe dankbar, habe von sowas nicht so den Plan...
Viele Grüße

[Markus67]

Hi ...

KB:gehackt

Markus

[Jan500]

die db sollte ja nicht betroffen seon oder?

wenn nicht dann mach ein backlup der db und setzt das board doch einfach neu auf und spiel das backup zurück..

Jan

[Kort]

Powered by phpBB 2.0.0

Okay ich sag mal nix

[Cannelloni]

Hm, also hab das Forum neu aufgesetzt, aber wenn ich dann die DB zurückspiele is alles wieder genauso wie vorher?!...
Sollte ich evtl. irgendwelche Tabellen der DB nicht zurückspielen?

[Cannelloni]

Okay, hat sich erledigt...

Als Tipp für alle die das selbe Problem haben wie ich...
Bei mir war ganz einfach ein HTML-Eintrag in einem der Forumsbezeichnungen, (phpbb_forums) und wenn man den über phpmyAdmin oder so rauslöscht ist für's erste alles wieder in Ordnung...
Das man dann evtl. noch Passwörter ändern sollte und so ist klar, aber man kommt wenigstens wieder in den Admin-Bereich und kann problemlos ein DB-Backup machen...

[schlaumi]

- wer phpBB 2.0.11 einsetzt, sollte aktuell nicht gefährdet sein

heißt das, ich soll nicht das aktuelle PHPBB 2.0.20 verwenden, sondern die (schon fast uralte ) version 2.0.11?