Uwaga na rządową witrynę infekującą odwiedzających ją użytkowników

Niestety przypadek strony KNFu infekującego gości nie jest odosobniony. Od kilku dni odwiedzających infekuje strona Urzędu Rejestracji Produktów Leczniczych a obserwowany złośliwy kod szyfruje dyski pechowych użytkowników.

[Kargaroth]

Tak to jest jak strony rządowe robią jakieś pociotki za gruby hajs na kradzionym motywie do wordpressa (no tu akurat drupal), albo klepią to studenci na, bo szef cebula znajomy ministra ma firme i musi swoje zarobić na przetargu publicznym.
Dorzućmy do tego stawki dla admina i devopsa na poziomie kasjerki w biedronce i mamy to co mamy.

Zamiast takiego WYSIWYG (what you see is what you get), mamy YGWYPF - you

[ZapomnialWieprzJakProsiakiemByl]

@Kargaroth: Jak urzędnik z pensją kasjerki w biedronce ma być fachowcem? Jeszcze w takiej dziedzinie jak IT? Jak on ma nadzorować taki przetarg, wdrożenie i prowadzenie portalu? I tu nie chodzi, o to, że "znajomy ma firmę" tylko o opinię publiczną i system, w którym nie da się zatrudnić i zatrzymać prawdziwych fachowców.

[W.....o]

YGWYPF

@Kargaroth: nie zgodzę się, znając życie ta strona była droższa niż najlepszy Twój projekt.... niestety.

[m.....k]

Najlepsza jest odpowiedź na zgłoszenie. W tłumaczeniu: nam się wydaje, że wszystko jest w porządku. Jak nie masz pan infekcji na kompie, to spadaj.

[maniac777]

@Stivo75: Oprócz szukania post-factum dobrze jest uniemożliwić aplikacji modyfikację własnego kodu (właścicielem plików i katalogów powinien być ktoś inny niż użytkownik który aplikację uruchamia i ten co uruchamia nie powinien mieć uprawnień do tworzenia i modyfikacji).

[elirath]

@Stivo75: a nie lepiej git status i git ls-files . --exclude-standard --others zamiast mieszać z ręcznym wyliczaniem md5?

Przy okazji, nie używaj md5 do tego. Od 10 lat można łatwo znaleźć kolizje w md5, w 2012 pojawił się nawet wirus Flame który był podpisany sfałszowanym certyfikatem (z hashem md5). źrodło.

[drooeed]

Jak to fajnie brzmi "wstrzykniemy ci ramkę"
¬_¬

[Zdalny]

Ciekawe jaki jest zarobek cyberprzestępców z takiej akcji

[Webanti]

@Zdalny: Ostatni raport FBI https://pdf.ic3.gov/2015_IC3Report.pdf z 2015 roku bardzo obszernie opisuje problem ransomware i kwestie finansowe. W Polsce zaatakowana została strona KNFu nie bez powodu. Bardziej skłonne do zapłacenia okupu są firmy, a nie użytkownicy domowi, którzy raczej nie odwiedzają takich stron ( ͡° ͜ʖ ͡°)

[MiroslawWypok]

@roztoczanin: Adres: https://dl.dropboxusercontent... ? Nie powinno to być na ich serwerze?

Yep... mi pobiera z serwerów adobe ( ͡° ͜ʖ ͡°)

[RudaPatrycja]

Drupala w Polsce bardzo dobrze zna kilka osób, reszcie się wydaje. A potem ZONK ... bo sam aktualny CMS to za mało na dzisiejsze czasy. Zresztą wystarczy prześledzić wpadki Wordpress'a ... a ludzie dodatkowo nic nie czytają na ten temat, a książki o bezpieczeństwie CMS są i po polsku.

[IvanBarazniew]

@RudaPatrycja: Bo ten soft się nadaje tylko do blue/green deployment w niemodyfikowalnych kontenerach a i tak nie gwarantuje to bezpieczeństwa, bo aplikacja wystawiona do świata modyfikuje treści, które wyświetla.

Wypadałoby deployować cały serwis z danymi read only, to może by to było jako-tako bezpieczne.

[simperium]

ciekawe, ile niezaktualizowanych komputerów z Windows XP i Internet Explorerem 8

Rozumiem, że zainfekować dadzą się automatycznie komputery z Win XP i przeglądarką IE8 lub niższą?

[zarowka12]

@simperium: właśnie nie wiadomo co to zdanie ma do reszty artykułu. Nie jest exploitowany ani Windows, ani IE8, tylko wtyczka Flash.

[MrAndy]

@simperium: Niezupełnie. Sprawdziłem przed chwilą na wirtualce XP Pro Sp3 + IE 8 + ostatni Flash Player i nic się nie dzieje po wejściu - poza błędami na stronie.

[panna-Wanda]

Dotąd, urzędy zarażały petentów tylko zwyczajowym rakiem niekompetencji i biurokracji. Teraz dodatkowo jeszcze wirusami. To państwo upada.

[zajeli-wszystkie-loginy]

Polecam uBlock, tylko tryb rozszezony

[ChineseMobilePhones]

@zajeli-wszystkie-loginy: ale co w tym trybie? :)