GoDaddy: hackergroep installeerde malware op hostingservers die sites redirectte

Webhoster GoDaddy zegt dat een hackergroep in december vorig jaar toegang kreeg tot GoDaddy's hostingsservers en daarop malware installeerde. Door die malware redirectten sommige klantsites naar schadelijke sites. De hackergroep zou GoDaddy al jaren aanvallen.

De groep kreeg toegang tot GoDaddy's cPanel-omgeving en installeerde hier malware op waardoor sites willekeurig en onregelmatig bezoekers doorstuurden naar andere sites. Hoe groot dit probleem was, is niet duidelijk, maar de webhoster zegt hier 'een klein aantal' klachten over te hebben ontvangen. De malware was vermoedelijk onderdeel van een phishingcampagne 'en andere kwaadaardige activiteiten'.

GoDaddy zegt het probleem inmiddels te hebben opgelost en is in contact met politiediensten en experts. Het bedrijf zegt op basis van onderzoek nu te denken dat de aanval door een groep is uitgevoerd die GoDaddy al jaren aanvalt. Bij een van die aanvallen zou de groep 'delen' broncode hebben gestolen. Deze groep zou onder meer achter het datalek van 28.000 accounts uit 2019 zitten en de latere diefstal van klantgegevens en adminwachtwoorden van maximaal 1,2 miljoen gebruikers in 2021. GoDaddy noemt de groep niet, maar zegt wel dat deze ook andere webhosters zou aanvallen.

Reacties (36)

Op het gebied van security is GoDaddy het schoolvoorbeeld van hoe het niet moet. Afgelopen jaar heb ik daar aan de bel getrokken omdat je privé en betaalgegevens werden verwerkt op een server dat draaide op Apache 2.2.15, uitgebracht in 2010. Nooit een reactie gekregen, ondanks meerdere emails naar het security adres. Het zal mij niks verbazen als de hackersgroep binnen is gekomen door misbruik te maken van oude kwetsbaarheden.

Het zou me ook niets verbazen als hun inbox vol zit van White-hats die allemaal bugs rapporteren die ze niets serieus nemen.

Apache 2.2.15 is pas sinds november 2020 uit security support bij RedHat 6, behalve als je een ELS support contract afsluit. Het kan zelfs zijn dat GoDaddy die support heeft en dat er nog security support zit op Apache. In het algemeen is een versienummer wat je ziet een slechte indicator van het patch beleid.

Vanuit een risk management perspectief denk ik dat je het beste af bent als je niet zulke oude meuk draait, maar het kan goed zijn dat deze server het minste probleem is. Control panels als cPanel zijn altijd een interessant target voor een hacker, omdat ze heel veel verschillende dingen doen, waardoor er een groot attack surface is, terwijl ze administrator rechten hebben op alle klant omgevingen, waardoor de schade erg groot is als je een gaatje vindt. Als je cPanel draait ben je per definitie het zaadje als je niet zeer regelmatig update, en ik verwacht dat ze dat wel onder controle hebben (anders was hun probleem echt een ordegrootte erger). De kans is groot dat cPanel gepakt is met een 0-day, of in een korte tijd tussen het beschikbaar komen van de fix en het toepassen door GoDaddy.

Intrusion detection op cPanel is niet triviaal, omdat er in de logs dagelijk honderden aanvallen staan en het heel moeilijk is om het gedrag van cPanel te correleren met die aanvallen. Ik word altijd heel erg moe van security experts die roepen "als je een XDR had gehad was dit niet gebeurd". Voordat je XDR is ingeleerd ben je heel veel mankracht verder, en (a) personeel daarvoor is niet te vinden en (b) de marges op shared hosting zijn te laag om dat soort kosten te kunnen rechtvaardigen.

Daarnaast zijn cPanel exploits zeldzaam vergeleken met exploits op Wordpress, Joomla e.d., en wil je alleen al daarom niet op shared hosting draaien, want je weet gewoon dat je buurman op hetzelfde IP adres al gepakt is voordat jouw site live komt.

Dit heeft dan niets met die hackaanval te maken maar op de een of andere manier vind ik het een vreemde naam voor een webhoster. Maar dat even terzijde vind ik het wel weer minder dat nu niet alleen die webhoster de dupe van die hack word. Vind het veel minder dat ook gewone gebruikers de dupe worden en dan ongevraagd op kwaadaardige websites terecht komen.

Heb ook wel een beetje het idee dat b.v. een webhoster als Strato het dan toch beter voor elkaar heeft. Daar heb ik eerlijk gezegd zoiets nog nooit meegemaakt in al die tijd dat ik bij Strato host.

Ahum... Strato is de GoDaddy van de Benelux.

BeNeLux?. Strato zit in Dld

Klopt, STRATO is een Duitse hoster.

Godaddy is ook eigenaar van VPNBook. Een gratis vpn dienst.

Dit is zo enzo een partij waar je je niet bij moet aansluiten. Slechte service. Slechte website. Veel reclame. Opdringerig. Ik heb mijn spul er al weggehaald. Ik had trouwens ook last van dat probleem waar ze nu mee aankomen. Ze hadden het voor mij niet opgelost. Klagen heeft geen zin bij ze.

zo enzo

Sorry, wat?

Ws. sowieso.

Bedankt voor je hulp. Taal is zeg maar niet mijn ding.

Punt

Geen groot probleem hoor, ook ik ken überhaupt slechts 1 woord Duits.
Hoewel..... als het er op aankomt kan ik schelden als een stomdronken en doorgesnoven U-boat Führer.

Ik was eerst wel tevreden over Strato, fijne vps met goede specs dacht ik voor een mooie prijs maar als dan blijkt dat bij het maken van een simpele backup al de hele server onbereikbaar word is er iets goed mis. Strato support kon verder ook geen oplossing geven. Nu alle spullen op een shared hosting die goedkoper en sneller is.

Ik vermoed dat de support bij godaddy op een zelfde page niveau ligt

Waar heb je het nu gehost dan, graag antwoord in DM. Alvast bedankt.

Ik zou het ook graag willen weten

Siteground. Wat een top partij!!

Het probleem van siteground is dat na een jaar kunnen ze de prijs drie keer omhoog gooien. Wees hier voorzichtig mee. Tegenwoordig schrijven ze automatisch af van je rekening.

Ik Host mijn website tegenwoordig bij digitalocean

Dat klopt inderdaad. Nu net gehad. Nu een jaar voor wat ik eerder voor drie betaalde. Als je niet zelf verlengd zoals ik dan doet ze 1 jaar. 2 jaar was voordeliger geweest, maar dan had ik het zelf moeten doen.

Mijn ervaringen met Strato zijn erg slecht. Unmanaged VPS afgenomen en toen deze onbereikbaar was, heeft het zo’n 4 uur geduurd voordat ze toegaven dat het een hardware probleem was ipv mijn probleem. Vervolgens nog zo’n 8 uur moeten wachten voordat ie toen weer online kwam. Het meest frappante waarover ik mij heb verbaasd is dat een storing van 12 uur afgedaan werd als een kleine storing… Voor mij nooit meer strato ondanks dat de prijs toen erg goed was.

Alles is relatief. Een storing van 12 uur kan in jouw ogen lang zijn. Maar als dit het enige probleem op jaar basis was dan heb je een uptime van 99,86% voor super goedkoop heb je niets te klagen. Niemand garandeert 100% uptime, tenzij je er ook flink voor wilt betalen. Dus je bent aan het klagen dat je 0,14% uptime gemist hebt omdat je voor goedkoop bent gegaan ipv meer betalen voor kwaliteit.. Ben je ook zo iemand die bij ali-express kabels bestelt want lekker goedkoop en dan verbaast is dat deze kabels smelten, of niet snel data overdragen? Ik zou tekenen net als vele andere mensen in delen van de wereld voor 99% een uptime van het stroom net. Laat staan een internet verbinding.

[Reactie gewijzigd door j1b2c3 op 18 februari 2023 12:38]

Als ik hun statement goed begrijp, hadden ze al begin december klachten van gebruikers ontvangen, maar zijn die verticaal geklasseerd omdat ze er niet in slaagden het issue te reproduceren. Pas nu, ongeveer 2 maand later, is het opgelost en maken ze een statement.
Dat een platform als dit slachtoffer wordt van hacking, is niet al te best (maar 'kan gebeuren'?). Dat ze vervolgens blijkbaar niet de processen, techniek of skills hebben om een dergelijk issue te detecteren (na meldingen!) is nog heel wat anders. Dikke fail imo!

Maar ze zijn wel goedkoop dus de klanten blijven toch wel komen.

Ik heb de indruk dat AWS door dit incident een verandering in de samenwerking met GoDaddy is gestart.

Ik kan me indenken dat dat grote gevolgen kan hebben voor GoDaddy.

Na dit incident zal er wel een kosten verhoging komen. Want zoals @the_stickie opmerkt lijkt het wel alsof ze na 2 maand eindelijk het expertise personeel en software hebben bijgeschakeld.
Eerder waren ze het niet instaat, met het systeem (budget) dat ze er voor hadden.

Helemaal mee eens, zo is het.
En te idioot voor woorden dat je daar gemind voor wordt.

Als je fiets is gestolen omdat je er geen of geen deugdelijk slot op had, of je huis een raam open had staan? Wat dan?

Maar ja, ook de opsporing en straf schiet tekort.

Nou lekker dan weer. Ik had jaren terug wat domains bij GoDaddy, maar ben toen vanwege hun irritante upsell gedoe en ads overgestapt naar Uniregistry. En Uniregistry is een tijdje geleden overgenomen door... GoDaddy. Dus maar weer op zoek naar een andere partij. Iemand nog suggesties?

Waarom niet gewoon iets Nederlands/Europees gebruiken? TransIP of Hostnet of iets.

Ik boycot alle partijen binne Team Blue en Total Webhosting Solutions. Ik zit nu bij Cloud86. Goede ervaringen mee en ‘gewoon’ telefonisch bereikbaar.

Voor de meeste mensen komt het toch op prijs neer. Heb nu een domein gekocht en eerste jaar is 0,60 cent en daarna 5 euro per jaar. Bij cloud86 is het al snel 15 euro per jaar.

Service zal vast beter zijn maar puur om een domein te kopen is het toch vrij prijzig.

Namesilo

Ik moet voor Noord-Amerikaanse klanten weleens werken op hosting van GoDaddy. Echt rampzalig, van het amateuristische niveau als Versio, TransIP, etc.