Untersuchungsbericht zum Hacking-Vorfall
Gestern haben wir den abschließenden Untersuchungsbericht vom JPCERT/Coordination Center erhalten.
Wie es zu dem unbefugten Hacking kam
Aus den verschiedenen verbliebenen Zugriffsprotokollen konnten wir die Ursache für das unbefugte Hacking nicht ermitteln. Wir haben verdächtige Zugriffe (Web und FTP) von 203.194.144.# bestätigt und Spuren von Angriffsversuchen Anfang August festgestellt. Allein anhand dieser Spuren konnten wir jedoch nicht ermitteln, wie der Angreifer in unsere Website eingedrungen ist. Es gab keine erfolgreichen Anmeldungen von diesen IP-Adressen.
Zu den unbefugten Weiterleitungen
Aus den verbliebenen Zugriffsprotokollen wurden die folgenden 2 Zugriffe als unbefugte Zugriffe betrachtet, die durch die von einem Angreifer platzierte .htaccess weitergeleitet wurden.
#.#.#.# - - [18/Aug/2014:05:41:38 -0500] "GET /pub/updates/emed64_updates_ja.txt HTTP/1.1" 200 884 "-" "AdvancedInstaller"
#.#.#.# - - [18/Aug/2014:06:19:04 -0500] "GET /pub/updates/emed64_updates_ja.txt HTTP/1.1" 200 884 "-" "AdvancedInstaller"Diese Zugriffe stimmen mit den in der .htaccess eingetragenen IP-Adressen und dem Zeitrahmen des Vorfalls überein. Außerdem unterschied sich die im Zugriffsprotokoll vermerkte Byteanzahl (884) von der Byteanzahl, die bei den anderen Zugriffen in anderen Zeitrahmen und von anderen IP-Adressen vermerkt wurde.
Normalerweise sehen Zugriffsprotokolle so aus:
#.#.#.# - - [10/Aug/2014:03:45:09 -0500] "GET /pub/updates/emed64_updates_ja.txt HTTP/1.1" 200 855 "-" "AdvancedInstaller"Die Byteanzahl dieser Datei beträgt 855, die beiden oben genannten Zugriffe weisen jedoch eine Byteanzahl von 884 Bytes aus.
Die Besitzer der oben genannten IP-Adressen wurden von JPCERT/CC kontaktiert, und es wurden keine Malware-Infektionen festgestellt. Die Zugriffsprotokolle zeichnen alle Zugriffe auf, einschließlich reiner Update-Prüfungen ohne tatsächliche Installation.
Zukünftige Maßnahmen
Zusätzlich zu routinemäßigen Aktualisierungen der WordPress-Plug-ins und -Themes scannen wir unsere Website regelmäßig auf Malware, überwachen Dateien auf dem Server und Zugriffsprotokolle und blockieren verdächtige IP-Adressen. Am 29. August haben wir die gesamte Website emeditor.com mit SSL-verschlüsselten Verbindungen geschützt. Außerdem planen wir, unsere Foren zur Verbesserung der Sicherheit auf eine andere Website oder eine elektronische Mailingliste zu verlagern.
Die nächste Version von Advanced Installer, mit der wir den Update Checker erstellt haben, wird in der Lage sein, Update-Installer ohne dieselbe digitale Signatur wie unsere zu blockieren. Zukünftige EmEditor-Versionen werden den Update Checker mit verbesserter Sicherheit wiederherstellen.
Wir entschuldigen uns für alle Unannehmlichkeiten, die diese Situation verursacht haben könnte.
Siehe auch: