Взломали сайты на Джумле

господа у меня vps хостинг там же, то же самое и у меня

я предлагаю: написать коллективную заявку сразу руководству хостинга hc.ru

такого допускать нельзя, сайты лежали минимум 1.5 часа

я считаю, что этот "сюрприз" был подложен на файлом уровне

и может быть даже в заявке попросить некую компенсацию, за столь вопиющие проблемы с безопасностью

как вы смотрите на моё предложение?

Есть такое ощущение, и стойкое, что сюрприз пришел с физического сервера.

А то что недавно все VPS лежали с 14:00 до 17:00 - и ничего. Компенсации не дали. Хотя лежали интернет магазины, шли новогодние продажи...

Я пока жду что ответит суппорт на то, что я вчера вечером написал.

Вот получил ответ:

Dram добавил 27.12.2010 в 07:34

Полностью согласен, руководство там адекватное, я уже пару раз жаловался, один раз даже получил месяц ВДС бесплатно. Адрес куда нужно писать boss@hc.ru

Я подпишусь....

Как они здорово предлагают обновиться... А если стоит убунта? :) у них репозитарий весьма старый используется. Там новых заплаток нет. А скакать на новый репозитарий - может все закончится неработающим сервером - уже проходили.

Кстати на той VPS, где был взлом, стоял Debian, и все было установлено вначале этого декабря - врядли с тех пор что то поменялось. В общем я подожду официального ответа. Если че, напишем Боссу :-D

ХЦ это рассадник вирусов. Постоянно сайты на нём заражаются вирусами. На Сёрче уже тема об этом есть, много жалоб на них. Все основные сайты давно от них перенёс и не жалею. И ваша тема очередное доказательство , им бы лишь бы спихнуть всё на клиента.

и у меня эта зараза образовалась, народ кто поможет избавиться? Поддержка тупит, уже несколько часов жду... Тоже ХЦ будь он не ладен

Отлично, у меня уже есть единомышленники и я действительно рад слышать, что руководству не все-равно, т.к. это основополагающий фактор.

Предлагаю следующий текст письма:

========================================================================

Уважаемое руководство hc.ru, пишут вам следующие ваши клиенты:

<Я думаю, что достаточно перечислить номера договоров на VPS хостинг>

25 декабря 2010 года с определенным количеством VPS-серверов, располагающихся на вашем хостинге произошли не приятные инциденты, а именно:

Внедрение вредоносного модуля в VPS сервера.

На наш взгляд произошло внедрение модуля непосредственно с хостовой машины или машин, на которых работают наши сервера. Внедрение производилось на файлом уровне с хостовой машины. Наши знания позволяют нам с высокой долей вероятности констатировать этот факт. В следствии этого мы понесли ощутимые материальные потери, упущена прибыль, репутации нанесен ущерб.

Поскольку данное пришествие является из ряда вон выходящим, просим:

1) Дать развернутый ответ по этому инциденту.

2) Рассмотреть вопрос компенсации наших потерь.

Проблемы есть у всех, но не все готовы их решать. Нам, администраторам VPS серверов очень важно, оперативное решение проблем и понимание, что отношение к клиенту не наплевательское.

=================================

Кого устраивает текст письма и кто готов подписываться, прошу писать мне на e-mail:

badhc@sigir.ru, письмо будет отправлено 29-го числа. Кто не успеет извините.

Пишут только те, кто получил проблемы, начиная с 25-го числа.

ZOT321 добавил 28.12.2010 в 01:04

у меня стоит генту

отключил их репозиторий и залил с иннета все что хотел

как специалист в области *nix технологий могу сказать, что проблема не в удаленном взломе

следов вмешательства нет, зато аккуратно подправлены файлы, к которым доступ только у рута :)

ZOT321 добавил 28.12.2010 в 01:12

В моем случае, я просто отключил модуль mod_log.so в файлах конфигурации apache.

Самый простой метод - это через поиск mc в шелле пустить поиск mod_log.so в контенте файла в директории /etc. Закомментировать этот модуль и перезапустить apache.

Это проканает при условии, что вредоносный файл имеет то же имя и файлы конфигурации апача находятся в /etc

Огромное спасибо всем в этой теме. Поддержка не чесалась сутки, в итоге вчера я не выдержал и сам всё удалил. А теперь эти ушлепки прислали письмо, в котором нет даже элементарно извинений.

у меня нет слов.

ZOT321 пишу в почту..

Тут я могу указать на размытость формулировки проблемы. Эта валидно для обычного пользователя, но у меня, как у профессионала, эта формулировка вызывает улыбку.

Значит по поводу системного программного обеспечения. Определение системного программного обеспечения:

Систе&#769;мное програ&#769;ммное обеспече&#769;ние — это комплекс программ, которые обеспечивают эффективное управление компонентами вычислительной системы, такими как процессор, оперативная память, каналы ввода-вывода, сетевое оборудование, выступая как «межслойный интерфейс» с одной стороны которого аппаратура, а с другой приложения пользователя. В отличие от прикладного программного обеспечения, системное не решает конкретные прикладные задачи, а лишь обеспечивает работу других программ, управляет аппаратными ресурсами вычислительной системы и т.д.

А сейчас мои почтенные читатели будут немного удивлены, узнав, что системное программное обеспечение администратор VPS сервера не может изменить, потому что на VPS сервере, этим программным обеспечением управляет администратор хостовой машины, т.е. служба технической поддержки HC. Например вы не можете перекомпилировать ядро на вашем VPS, вы не можете изменить оперативку и её объемы, ну и т.д. Тут мы сталкиваемся с тем, что поддержка пробует переложить ответственность на клиента. Этого допускать нельзя, с такими темпами клиент будет виноват, зато остальные, кто реально виноват в проблеме - будут белыми и пушистыми. :)

А по поводу апача и пхпадмина...

Ну не знаю прямо. Могу сказать точно, что пхпадмином отредактировать файл, у которого есть права на редактирование только у рута - весьма затруднительно и практически не реализуется.

Кстати пхпадмин уж точно не относится к системному программному обеспечению :)

Может поддержка плохо училась в школе?!

Как говорил Киркоров:

"Не люблю непрофессионалов, непрофессионалам тут делать нечего"

Итак на текущий момент получено уже два письма! От Dram и Радиста.

Активнее товарищи, получим, как минимум нормальный ответ хоть раз.

Пхпадмин я отметаю(откуда ему столько прав?). Взлом через апач? Простите, на всей папке и на модулях стоит 644, если не ошибаюсь, владелец root (точно не помню какие права все были, но 100% не было прав на запись у группы и others). Чтобы апач был запущен из-под root надо быть тем еще оригиналом.

Вывод, файл поправлен процессом/человеком обладающим правами root, либо с физического сервера. Файл mod_log.so имел принадлежал root:root, но при этом ему было присвоено в правах разрешение на запуск(755 по-моему стояло).

Что ответила вчера поддержка после письма на boss@hc.ru: