Désactivation de certains plugins

[JM]

Oui, 2 alertes en moins de 24h. Hier soir je reçois le mail me demandant de changer d'urgence mon mot de passe client (toute la base client europe piratée) et ce matin celui pour mon serveur piraté.
Et depuis 11h ce matin, plus aucune nouvelle de leur intervention sur ma machine.

[skydiver]

Les noms des responsables! Vite! Mes amis yakuza sont prêts...
Bon courage JM et merci pour tout le travail effectué.

[fengrim]

Ebury à pour unique but de récupérer les mots de passe rentré sur une machine et les envoyer à une tierce personne.
A la base celui-ci a été développer uniquement pour "trojaner" des systèmes Linux. En s’attaquant aux directories :

/usr/bin/ssh
/usr/sbin/sshd
/usr/bin/ssh-add

La logique veut donc que ce trojan se fasse le plus discret possible, pour que le user ne se doute de rien. Hors, faire passer un taux de rebond à 80% est tout sauf discret. Pourquoi ?

Parce que cette saloperie communique uniquement par le port 53 en UDP. Par le biais de message DNS.
il envoi ses infos aux host:

• 9w7vcuctes.info
• 6gascrcqep.net
• eo7ncmclek.biz
• eoencmclek.net

les messages envoyés seront sous cette forme.

• 614be8f16c0ef8fc6a5a.< IP address >
• 614be8f16c0eff9e06d. < IP address >
• 614be8f16c0eeef6674ce3. < IP address >

Je m'explique : un server DNS sert à rattacher une IP à un nom domaine. En gros quand vous tapez le japon.org dans la barre d'adresse, un server va vous rediriger de manière transparente vers l'IP 91.121.61.19. Mais ça vous le voyez pas.

Si en revanche le server DNS au lieu de vous diriger vers 91.121.61.19. envoi des paquets contenant vos login/mdp à une tierce personne, que se passe t'il ? Une erreur 807, 301 ou 404. Ou pire encore, la première résolution DNS étant infructueuse (car celle-ci contenait vos informations de connexion), votre navigateur en tente une deuxième, qui passe. Vous y voyez que du feu car tout cela se fait en quelques millisecondes.

Par contre, google lui, il les voit très bien les résolutions DNS foireuses. et les interprètes par un rebond.

JM: Ayant quelques sites hébergés chez notre amis commun, voici le mail que j'ai reçu le 22 Juillet.

Bonjour,
Récemment, nous avons relevé un incident de securité sur notre réseau interne
au siège social d'Ovh.
Nous avons immédiatement sécurisé et enquêté sur l'incident. Nous avons
relevé que la base de données des clients Europe aurait pu être illégalement
copiée. Cette base comporte les données suivantes :
le nom, le prénom, le nic, l'adresse, la ville, le pays, le téléphone, le
fax et le mot de passe chiffré. Les informations sur les cartes bancaires ne
sont pas concernées puisqu'elles ne sont pas stockées par OVH.

Même si le chiffrement du mot de passe de votre identifiant est très fort,
nous vous conseillons de changer le mot de passe dans les plus brefs délais.

En savoir plus sur l'incident de securité: http://travaux.ovh.net/?do=details&id=8998


Cordialement,

Tu n'as rien à te reprocher. Ces imbéciles sont entièrement responsable. La sécurité de tes informations fait partie intégrante des prestations dont ils se portent garant.

Aux membres : J’espère que votre MDP japon.org diffère de vos autres password, le cas contraire je vous conseille de tous changer très rapidement.

La bise.

[BigInJapan]

J'ai aussi reçu le message d'OVS concernant le piratage de la base. Je me rappelle que j'étais au Japon en 2006 quand ils avaient crashé les disques des hébergements mutualisés et qu'ils n'avaient pas de sauvegarde récente des sites web hébergés ! Heureusement j'avais une sauvegarde à jour du mien, mais ça avait gueulé sur les forums çar ce n'était pas le cas de tout le monde !

Bon courage si tu dois tout remettre au propre.

[INslay]

Yop,

Je ne comprends pas pourquoi des gens tentent de pirater? Le challenge pour avoir le kiki toudur?
A priori le problème vient d'OVH et cela se répercute sur vous...
Je ne vois pas trop l'intérêt d'enquiquiner les gens de longue avec des virus etc... Les grosses structures telles que les états ou les banques peuvent provoquer des envies malsaines mais pour des structures moins grosses *soupir*

J'espère toutefois que vous pourrez régler vos problèmes rapidement

[zev]

Au hasard, utiliser les ressources et transformer le reseau en architecture distribuee pour
- du spam
- miner des bitcoins
- cracker des mots de passe ou des données cryptées...
utiliser les machines comme proxy pour:
- masquer son identite a des fins illegales,
- monter un serveur DNS ou proxy afin de perpetrer des attaques man in the middle et intercepter des donnees non cryptees (numeros de CB),
- rediriger des utilisateurs sur un serveur verole afin de propager des virus et autres backdoors

etc.

[INslay]

Effectivement.... navré de n'être pas assez malsain pour y avoir pensé mais merci à toi pour ta réponse éclairée

En soit, bon courage à vous.

[JM]

La ré-installation est faite.

Maintenant il faut absolument que vous changiez vos mots de passe, car ils peuvent avoir été piratés.

[Gnurou]

Un envoi généralisé de MPs ou de mails (ou mieux, un reset forcé du mot de passe avec mail de notification) me semble être une bonne idée vu que tous les utilisateurs ne lisent sans doute pas ce fil.

[JM]

Envoyez un mail ce n'est pas faisable car il y a plein de gens qui n'ont plus d'adresse valide dans la base de données, donc des tas de mails seraient rejetés.
J'ai donc opté pour l'obligation de lire un sujet "Modifiez votre mot de passe" avant de pouvoir continuer à surfer sur le site.

Cela ne règle pas le problème de ceux qui ne viennent pas souvent.
Si je leur change le mot de passe et que leur adresse mail n'est plus valide, je vais être inondé de demandes persos...