Mi sitio web ha sido hackeado, ¿qué hago después? [cerrado]

  

El atacante (basado en el idioma del blog (indonesio)) es presumiblemente en el extranjero. ¿Puedo localizarlos y procesarlos?

Yo diría que no; a menos que seas un multinacional (que puede gastar recursos más fácilmente en perseguir a personas en países extranjeros), esto seguramente no valdrá la pena. Pero esto no es un consejo legal, por lo que debe hacer su propia evaluación aquí. Las posibilidades de obtener una recompensa son muy pequeñas.

En términos de cómo ingresaron, usted va a tener dificultades a menos que ya haya invertido en IDS (Sistemas de detección de intrusos) de alguna naturaleza. La regla de oro aquí es que una vez comprometida, ya no puede confiar en la máquina . El atacante puede haber eliminado registros, haber cambiado las marcas de hora, etc. De manera similar, de dónde provino, su ISP puede ayudarlo (si está seguro de que son indonesios), solicite todo el tráfico hacia / desde Indonesia, suponiendo que no es un problema. país con el que sueles hacer negocios).

Puede mirar a través de los registros en el servidor, específicamente los registros de acceso HTTP: el vector de ataque más probable para un servidor HTTP orientado a la web será a través de un software web inseguro. Verifique las versiones de su software para detectar problemas de seguridad conocidos (Wordpress es bastante conocido por esto), verifique que sus contraseñas no sean simplistas.

El escenario más probable es que algún gusano automatizado, probablemente usando Google, descubrió que su sitio estaba ejecutando un poco de software con una jugosa vulnerabilidad y lo golpeó. Estoy especulando, pero sin más detalles, es probable que estemos donde estamos. Si estás en un host web público, y cualquiera de tus archivos o carpetas se pueden escribir en todo el mundo, podría ser cualquiera de los otros sitios alojados en tu servidor.

Suponiendo que encuentre algo; comuníquese con la policía local si cree que apunta a algún lugar, pero no contendría la respiración. Si está en el gobierno o en una gran empresa, debe tener un equipo, agencia o similar para informar, asegúrese de que haga hacer eso.

Lo importante aquí es que, ya que ya no puede confiar en la máquina (nuevamente en negrita, es importante), su mejor opción es comenzar de nuevo . Es duro, pero si tienen administradores locales, simplemente vas a ser golpeado de nuevo.

Una vez que haya sido comprometido, deja de ser una pregunta de seguridad. Eche un vistazo a enlace para otros consejos, pero comienza a convertirse en una pregunta de riesgo legal para su organización (¿Está costando que miles de personas bajen? ¿Vale la pena iniciar un servidor tal vez malo?).

Arme todo de nuevo, parche todo, restaure su última copia de seguridad de base de datos. Cuando arme el servidor, asegúrese de colocar una línea de base segura ( Procesos de certificación del servidor ) para que pueda ver los registros guardados en una máquina diferente, en la que aún puede confiar.

"Necesita" saber cómo llegaron. Si está haciendo esta pregunta, parece que no se preparó, por lo que puede sentirse decepcionado con sus opciones. ¿Mantiene registros completos de calidad forense, almacenados por separado de la máquina pirateada? Si no es así, ¿has examinado los registros que tienes? Leer archivos de historial de shell? Leer registros es tu mejor apuesta aquí, gumshoe.

"Necesitas" saber de dónde vino el ataque. Este es el Internet, donde las máquinas se piratean para controlar redes de bots para enviar ataques a las redes de IRC que controlan las redes de bots. Si el atacante tiene algún deseo de permanecer en el anonimato y usted no es lo suficientemente grande como para que los gobiernos y las compañías de comunicaciones lo ayuden, todo lo que tiene que hacer es buscar pistas como un gumshoe. Eso puede funcionar, si tienes la afición de jugar al detective, pero no hay una respuesta mágica.

Dado que no es una empresa grande que acaba de perder millones de registros de clientes o unidades de dinero, la forma de "tratar sus hallazgos" y de preguntarse "cuándo involucrar a la policía" puede estar tomando las cosas demasiado en serio para la realidad. ¿Sabe cuántas personas internacionales tienen lugar en busca de personas que redireccionan la página de inicio de alguien? Cero. Trata tus hallazgos como pistas en tu propia guerra cibernética en miniatura. Toma nota. Llame al FBI cuando haya perdido más de $ 1M.

¿Cómo evitar que el ataque vuelva a ocurrir? Si puedes averiguar el vector de ataque, ciérralo. Si no puedes, contrata a un asesor de seguridad o reconstruye tu sistema con una tecnología completamente diferente y reza.

Daré mi metodología que uso para limpiar sitios pirateados.

Querrá encontrar los archivos modificados más recientemente a partir de la fecha en que notó el hackeo. Puedes usar find /dir/ -mtime para hacer esto. -mtime -1 proporcionará información de las últimas 24 horas; Revise todos esos archivos para el código malicioso.

Una vez que haya establecido una lista de archivos modificados que son maliciosos, querrá stat them para la modificación y el tiempo de creación. Luego, verificará sus registros de transferencia y registros de FTP alrededor de ese tiempo para encontrar la dirección IP y la forma de explotación de los atacantes. Si tienes suerte, verás cómo entraron ; por lo general, el atacante ha pirateado su sitio meses antes, lo que hace que usted no pueda verificar los registros de cómo y cuándo fue pirateado.

Algunas de las herramientas más comunes que utilizo para limpiar sitios pirateados: find , stat , grep -F .

Como se dijo anteriormente; No somos abogados sino expertos en seguridad informática. Si el atacante está en un país extranjero, no pierdas el tiempo. Si el atacante está en su país natal, entonces no pierda su tiempo; La razón es que es probable que hayan cubierto sus huellas y se hayan ido hace mucho tiempo. La cantidad de recursos invertidos en tratar de encontrar y castigar al pirata informático podría haber sido utilizada para proteger mejor su sitio .