Cookies op Tweakers

Tweakers maakt gebruik van cookies, onder andere om de website te analyseren, het gebruiksgemak te vergroten en advertenties te tonen. Door gebruik te maken van deze website, of door op 'Ga verder' te klikken, geef je toestemming voor het gebruik van cookies. Wil je meer informatie over cookies en hoe ze worden gebruikt, bekijk dan ons cookiebeleid.

Meer informatie

Door , , 44 reacties •
Submitter: johnkeates

Hackers hebben enige tijd de website van LeaseWeb beklad via een defacement. Vermoedelijk hebben de aanvallers via een sql-injectie een kwetsbaarheid in de WHMCS-admintool benut. LeaseWeb stelt dat er geen klantgegevens zijn buitgemaakt.

De website van LeaseWeb was zaterdag enige tijd defaced. De homepage toonde een Anonymous-afbeelding en een korte mededeling van het 'KDMS Team'. Niet iedere bezoeker van LeaseWeb kreeg de defacement te zien. Vermoedelijk was er sprake van dns hijacking, waardoor de domeinnaam van LeaseWeb tijdelijk naar een site van de aanvallers verwees.

LeaseWeb heeft via Twitter de aanval bevestigd en stelt de zaak te onderzoeken. De website is inmiddels weer normaal bereikbaar. Verder meldt de hoster dat er geen klantgegevens zijn buitgemaakt.

De aanvallers zouden gebruik hebben gemaakt van een kwetsbaarheid in de WHMCS-software, een populair adminpakket bij hostingbedrijven, zo meldt Hackersnews. Door het beveiligingslek kunnen aanvallers sql-injecties uitvoeren. Een dag eerder was de kwetsbaarheid in versies 5.1 en 5.2 van de WHMCS-software openbaar gemaakt, waarna de ontwikkelaar genoodzaakt was een patch uit te brengen.

Update 7/10, 13:40: LeaseWeb laat weten dat er sprake was van een dns hijack en dat het bedrijf helemaal geen gebruik maakt van WHMCS-software, maar van zelf ontwikkelde software voor het klanten-panel gebruikt. Alleen het leasweb.com-domein zou zijn getroffen.

Lees meer over

Gerelateerde content

Alle gerelateerde content (15)
Moderatie-faq• Wijzig weergave

Reacties (44)

-144038+131+29+30Ongemodereerd1
+2 xares
6 oktober 2013 11:33
Ehm Leaseweb gebruikt geen WHMCS maar een zelf geschreven controlpanel.
De nameservers van Leaseweb.com waren aangepast.
+2 velenski
@xares • 6 oktober 2013 13:58
backend van hun is wel degelijk whmcs maar heftig gemod.
waar jij op doelt is slechts frontend layout

aan layout alleen kan je niet altijd zien wat er draait
+1 xares
@velenski • 7 oktober 2013 09:30
Zelf vinden ze van niet:

"Details of how exactly the hijack could have happened are not yet 100% clear at the moment of writing. Some media mentioned that a vulnerability in WHMCS-software might have been the culprit, but this cannot be the case. LeaseWeb uses its own in-house developed software for its customer panel, which does not seem to have been part of the security issue. Right now, it appears that the hijackers obtained the domain administrator password and used that information to access the registrar. We will continue to investigate this incident thoroughly and take decisive action accordingly."


http://blog.leaseweb.com/...-of-leaseweb-com-website/
+1 riky404
@xares • 6 oktober 2013 12:06
Bron? Als dit waar is mag het nieuwsbericht daar wel op aangepast worden :)
+2 xares
@riky404 • 6 oktober 2013 12:08
https://secure.leaseweb.nl/auth/customer/login
vs
http://demo.whmcs.com/

Ja ik weet het zeker ;-)
+1 twop
@xares • 6 oktober 2013 16:23
Misschien gebruiken ze een "skin"?
0 mae-t.net
@xares • 6 oktober 2013 16:27
Je weet het zeker, zonder enige motivatie of onderbouwing en met een knipoog die ook kan betekenen 'grapje'.
+1 xares
@mae-t.net • 6 oktober 2013 16:34
Is geen grapje.

Bron: Ik ken iemand die bij Leaseweb werkt :)

Daarbij komt dat WHMCS veel te log is voor een groot bedrijf zoals Leaseweb.
Aanpassingen zijn ook vrijwel niet mogelijk omdat alle PHP code gecodeerd is met Ioncube.
+1 WhatsappHack

@xares • 6 oktober 2013 21:32
Xares heeft gelijk.
WHMCS wordt absoluut niet gebruikt door LeaseWeb op hun eigen website.

WHMCS was inderdaad enorm lek (en nu nog steeds trouwens, maar hun "security by obscurity" werkt toch enige vruchten af) maar dat maakt voor leaseweb geen verschil...

WHMCS is echt een totaal ander systeem.
+1 Kasparov13
@326929 • 7 oktober 2013 09:48
Er zijn meerdere onderzoeken die aantonen dat Wikipedia een goede en betrouwbare bron is, alleen een -in feite- 'living document' als bron opgeven is natuurlijk not done in de wetenschap. De bronverwijzingen van een wiki entry zijn vrijwel zonder uitzondering een rijkdom van informatie en worden dan ook vaak gebruikt en correct geciteerd.

Zie dit, naar recursief neigende, artikel (op Wikipedia dus) en neem vooral een kijkje naar de publicaties en bronnen onderaan het artikel:
http://en.wikipedia.org/wiki/Reliability_of_Wikipedia

Quote:
"An early study in the journal Nature said that in 2005, Wikipedia scientific articles came close to the level of accuracy in Encyclopædia Britannica and had a similar rate of "serious errors".[2] The study by Nature was disputed by Encyclopædia Britannica,[3] and later Nature replied to this refutation with both a formal response and a point-by-point rebuttal of Britannica's main objections.[4] Between 2008 and 2012, articles in medical and scientific fields such as pathology,[5] toxicology,[6] oncology,[7] pharmaceuticals,[8] and psychiatry[9] comparing Wikipedia to professional and peer-reviewed sources found that Wikipedia's depth and coverage were of a high standard."

Bottomline, er staan fouten op wikipedia, maar deze worden véél sneller gecorrigeerd dan bij klassieke encyclopediën met als resultaat een encyclopedie waar net zo weinig fouten in staan als zijn bekende én betaalde concurrenten. Gebrek aan authoritiet betekend niet altijd gebrek aan betrouwbaarheid ;)

[Reactie gewijzigd door Kasparov13 op 7 oktober 2013 09:56]

0 mae-t.net
@Kasparov13 • 8 oktober 2013 15:29
Behalve dan op gebieden waar niet veel mensen veel van weten. Dan blijft een fout op Wikipedia (of elders op het internet) jaren staan en wordt ook regelmatig overgenomen. Voor bonuspunten: overgenomen zonder bronvermelding.
+2 xares
@riky404 • 7 oktober 2013 09:29
"Details of how exactly the hijack could have happened are not yet 100% clear at the moment of writing. Some media mentioned that a vulnerability in WHMCS-software might have been the culprit, but this cannot be the case. LeaseWeb uses its own in-house developed software for its customer panel, which does not seem to have been part of the security issue. Right now, it appears that the hijackers obtained the domain administrator password and used that information to access the registrar. We will continue to investigate this incident thoroughly and take decisive action accordingly."


http://blog.leaseweb.com/...-of-leaseweb-com-website/
+1 naam
@riky404 • 7 oktober 2013 11:31
Klopt, ik heb er een stage gelopen op de afdeling programming, ze gebruiken inderdaad een zelf gebouwt CMS.
+1 Fabbie
@xares • 7 oktober 2013 09:39
Waarschijnlijk gebruikte de DNS provider WHMCS. Er staat in het artikel dat er DNS hijacking plaats gevonden heeft. Leaseweb zelf is dus niet gehackt (wat ik uit het artikel haal) ook al suggereert de titel anders (tenzij ze ook zelf DNS Provider zijn natuurlijk).
+1 xares
@Fabbie • 7 oktober 2013 09:41
KeySystems gebruikt ook geen WHMCS maar een self-made systeem (wat trouwens ontzettend slecht werkt).
+1 johnkeates
@xares • 6 oktober 2013 16:21
Leaseweb doet zelf niks met WHMCS, maar het kan zijn dat Key Systems in Duitsland dat wel doet en daarmee zou het correct kunnen zijn.

Toevoeging: http://blog.leaseweb.com/...-of-leaseweb-com-website/

[Reactie gewijzigd door johnkeates op 6 oktober 2013 23:29]

+2 dupondje
6 oktober 2013 11:35
Vermoedelijk? Effectief bevestigd door leaseweb: http://leasewebnoc.com/en/networkstatus/leaseweb-com-issues
+2 johnkeates
@dupondje • 6 oktober 2013 12:46
Toen ik er achter kwam heb ik snel even uitgezocht wat er aan de hand was, en ik kwam tot de conclusie dat niet servers niet gehackt waren, maar hun DNS zone van .com (en niet .net want die werkte wel).

GoogleDNS had de hijack helemaal niet in hun cache opgenomen, KPN (en dochters), Ziggo en een paar servers van OpenDNS wel : https://twitter.com/johnk...86589322071134208/photo/1 (op dat moment alleen Amsterdam)

Was dus waarschijnlijk een gevalletje van DNS cache poisoning.

De deface (als je hem gemist hebt): https://twitter.com/johnk...86577177245786112/photo/1

Ik denk dat dit (zoals hieronder ergens gepost) een aanvalletje bij keysystems was en niet echt bij leaseweb.
+2 _Alkaline
7 oktober 2013 08:05
KDMS heeft eigen facebook?
https://www.facebook.com/kdmsteam.1

Er word nog gepraat over de "hack". Een tolk zou handig zijn.

[Reactie gewijzigd door _Alkaline op 7 oktober 2013 08:06]

+1 CAPSLOCK2000

6 oktober 2013 12:02
Weer DNS-hijacking. Als ze nu DNSSEC hadden gebruikt was dat een stuk moeilijker geweest.
+2 xares
@CAPSLOCK2000 • 6 oktober 2013 12:24
De nameservers van Leaseweb.com waren aangepast bij de registry.
Dus de DNSSEC keys (als die er waren) hadden ze ook van het domeinnaam kunnen verwijderen.

Waarschijnlijk hadden ze toegang tot het controlpanel/API bij Keysystems (waar Leaseweb.com geregistreerd is).
+2 RSpliet
@xares • 6 oktober 2013 13:36
En wat enger is, maar waar niemand over rept, is dat de MX records naar leaseweb.com. verwezen. Mensen die leaseweb.com als mailserver hadden ingesteld zijn waarschijnlijk ook doorverwezen naar de attacker, waardoor ze ook de mail-credentials konden loggen van mensen die op dat moment hun e-mail probeerden op te halen. Of dit daadwerkelijk heeft gewerkt hangt af van de mailclients, die hopelijk SSL probeerden af te dwingen...
+1 johnkeates
@RSpliet • 6 oktober 2013 13:48
Dat heb ik toen ook aan leaseweb meegegeven, en dat was onderdeel van de hack..

Normaal verwijzen ze namelijk naar ocom door!
Leaseweb heeft toen ook meteen leaseweb.net als backup emaildomein laten gelden.

Wat betreft de MX records en mail wachtwoorden: de MX records hebben niks met mail clients te maken. MX records zijn voor (en nu komt het:) Mail eXchangers. Dus server programma's die die records nodig hebben om mail af te leveren. Als client zul je daar niks mee te maken hebben.

Het kan natuurlijk wel dat pop3.leaseweb.com op 110 luisterde en alleen plaintext non-ssl auth ging ondersteunen en daarmee wachtwoorden probeerde te ontfutselen. Maar dat moet je als client dan ook niet verkeerd instellen! Zoals op kb.leaseweb.com staat kan je prima smtps, pop3s en imaps gebruiken om dit soort problemen te voorkomen :)
0 RSpliet
@johnkeates • 6 oktober 2013 13:59
Ja daar heb je wel een punt... dus er kan hoogstens via de MX constructie mail zijn onderschept?
+1 johnkeates
@RSpliet • 6 oktober 2013 14:42
Ja, dat denk ik wel. Maar het is natuurlijk een scriptkiddie-club die dit gedaan heeft, dus het zal grotendeels afhangen van hun gebruikte toolkit.

Stel dat ze er een hebben die:

- MTA, POP, SMTP en IMAP services heeft
- Alles transparant accepteren aan credentials
- Het volume van Leaseweb aankan

dan is het natuurlijk mogelijk dat ze wat informatie buit gemaakt hebben.

Waarschijnlijk vooral user credentials als die er al naartoe gestuurd zijn, en geen credentials van hosted services, om dat die over het algemeen alleen via hun control panel (SSC) verstuurd worden.
+1 Xantios
@CAPSLOCK2000 • 6 oktober 2013 12:07
Ga jij hosters eens proberen uit te leggen dat ze iets moeten updaten / upgraden / aanpassen.
Als klant van een hoster is de kans vrij groot dat je zelf geen zin hebt om een servertje op te zetten voor je site, of het simpelweg niet kan.

Helaas hebben bedrijven over het algemeen een enorme arrogantie. waardoor we steeds vaker dit soort dingen zien. Ga jij het ze uitleggen?;-) en denk je dat ze er naar luisteren?

Dit soort dingen zie ik bij hosters wel vaker gebeuren.
hoelang ik al op een PHP Update zit te wachten bij een van m'n klanten zodat ik verder kan coden...
Simpelweg omdat spul geen enge beveiligings lekken moet hebben.
Niet helemaal aan elkaar gerelateerd, behalve dan dat bedrijven over het algemeen pas gaan kijken op het moment dat "shit" echt stoek gaat
+1 johnkeates
@Xantios • 6 oktober 2013 12:45
Leaseweb doet wel aan DNSSEC, maar nog niet op hun eigen domein. Het had ook niet veel geholpen om dat de aanvallers de DNSSEC keys gewoon hadden kunnen verwijderen.

[Reactie gewijzigd door johnkeates op 6 oktober 2013 12:47]

+1 Lennart-IT
@Xantios • 6 oktober 2013 13:09
De meeste hosters zijn resellers, of ook wel doorverkopers van een datacentre eigenaar host. Dan heb je ook nog de hosts die een server huren in een rack bij een data center. Er zijn er zeer weinig die hun eigen servers beheren. Het enige waar deze hosts kennis van hebben is hoe men het panel beheerd, bedrijf runnen, algemene kennis.

De data center netwerken worden beheerd door mensen die verstand hebben van routing en switching maar veel kennis missen op het gebied van security. Tegenwoordig moeten grote bedrijven specifiek voor beveiliging iemand al aannemen. Hoe kleiner het bedrijf is hoe slechter het gesteld zal zijn met de backbone beveiliging tenzij het bedrijf bij een zeer goede hoster huurt die security aspecten uit de handen neemt van het bedrijf.
+1 CAPSLOCK2000

@Xantios • 6 oktober 2013 14:00
Ga jij hosters eens proberen uit te leggen dat ze iets moeten updaten / upgraden / aanpassen.
Als klant van een hoster is de kans vrij groot dat je zelf geen zin hebt om een servertje op te zetten voor je site, of het simpelweg niet kan.

Helaas hebben bedrijven over het algemeen een enorme arrogantie. waardoor we steeds vaker dit soort dingen zien. Ga jij het ze uitleggen?;-) en denk je dat ze er naar luisteren?
Dat zeg je mooi tegen de verkeerde :)
Ja, ik ga het ze uitleggen, dat is bijna dagelijks werk voor mij. Ik mail regelmatig met zo'n beetje alle hosters van Nederland. Ik zal niet zeggen dat het altijd even makkelijk is maar uiteindelijk luisteren ze wel. Dit is juist het moment waarop je het hete ijzer kan smeden.
+1 xares
@Xantios • 6 oktober 2013 12:21
PHP updaten op een shared hosting server kan niet zomaar.

Bijvoorbeeld de update van PHP 5.2 naar 5.3, een hoop oude Joomla installaties die niet meer werken door deprecated functies.

Nu is het tegenwoordig ook mogelijk om 2 verschillende PHP versies naast elkaar te draaien,
Alleen zijn er niet veel hosters die dit doen.
0 V-rg
@xares • 6 oktober 2013 13:54
Ach, ik zie mensen ook nog steeds mysql_query gebruiken met PHP 5.4/5.5.

In plaats van de ze PDO of Mysqli gaan leren (zelf voor PDO gekozen), ben je gelijk ook stuk veiliger voor mysql injecties.
+1 Kabouterplop01
6 oktober 2013 20:59
Maar anyway, als de klanten van Leaseweb dus de Leaseweb site wilden bezoeken kwamen ze uit bij een malafide website... En is die malafide site dan niet besmet?
0 likmereet
6 oktober 2013 16:16
was op zoek naar hoster voor een zwaardere opstelling. leaseweb kan van de lijst. hoe je er ook naar kijken wilt, dit soort nieuws wekt geen vertrouwen. als zakelijke klant kun je je dit soort zaken niet permitteren.
+1 malinwa001
@likmereet • 6 oktober 2013 19:51
je naam wekt bij mij ook geen vertrouwen op. als grote hoster zal leaseweb wel weten waar het mee bezig is en veiligheid zou een top prioriteit moeten zijn.
+1 johnkeates
@likmereet • 6 oktober 2013 23:30
Wie is er dan NL-based en zwaarder dan Leaseweb?

Daarnaast was dit niet een hack bij Leaseweb, maar buiten Leaseweb om.

Toevoeging: http://blog.leaseweb.com/...-of-leaseweb-com-website/
+1 Hatsjoe
@likmereet • 6 oktober 2013 16:34
Let wel, deze hack was uitgevoerd buiten LeaseWeb om. LeaseWeb heeft hier zelf niks kunnen doen, aangezien de registrar van leaseweb.com gehacked was, en niet LeaseWeb zelf.

Om dan te zeggen dat het geen vertrouwen wekt, is ook weer overdreven. Beter kijk je het van de positieve kant, en zie je hoe transparant LeaseWeb is. Ook hoe snel de situatie onder controle was.

Maar als je dat niet in ziet, is het misschien ook maar beter dat je je opstelling onder brengt in een hobby schuur :+
0 GJvdZ
@likmereet • 6 oktober 2013 19:59
Ik zou toch verwachten dat de onderbuik niet meebeslist en dat een zakelijke keuze op rationele aspecten wordt gemaakt. Zo niet, dan kan je beter eerst eens een profesionaliseringsslag in de organisatie maken.
0 upje
6 oktober 2013 11:45
Heel toepasselijk, zo'n reclame van Leaseweb bovenaan de pagina ;) .

Op dit item kan niet meer gereageerd worden.


Apple iOS 10 Google Pixel Apple iPhone 7 Sony PlayStation VR AMD Radeon RX 480 4GB Battlefield 1 Google Android Nougat Watch Dogs 2

© 1998 - 2016 de Persgroep Online Services B.V. • Tweakers vormt samen met o.a. Autotrack en Carsom.nl de Persgroep Online Services B.V. • Hosting door True