Forum Hacked by Team Animus?

[Asterix]

In questi giorni nei siti di vbulletin.org e vbulletin.com alcuni utenti hanno segnalato che grazie ad una falla presente sull’addon VSa - Advanced Forum Rules (prontamente aggiornato e fixato ) hanno rilevato una azione di hacked da parte di alcuni gruppi tra cui: Team Animus

Lo stesso Valter ha prontamente aperto un thread ove riporta una delle possibili soluzione al fine di ripristinare la situazione originale, di seguito riporto parte del thread tradotto.

Le azioni rilevate in alcuni siti hacked sono:

1. Aggiunto il file  vba.php nella cartella INCLUDES
2. Sostituiti alcuni file index.php e aggiunti altri file index.html
3. Aggiunto un nuovo utente con ID "13371338", naturalmente l’utente ricopre il ruolo di admin 
4. Modificati i titoli utente con  "Hacked by Team Animus"
5. Disabilitati gli attuali admins
6. Disabilitati forums

La procedura seguita da Valter è la seguente:

01. MyAdmin > Calcellato l’utente creato (hacker – admin group) 
02. MyAdmin > Modificato il valore autoincrement della tabella USER  {LatestUserID} + 1
03. MyAdmin > Lanciato la seguente query per fixare i titoli utente:
	UPDATE user SET usertitle = replace(usertitle, "Hacked by Team Animus", "")
04. FTP > Per essere sicuri che tutti i file sono OK, ho cancellato tutto dalla mia cartella forum, salvo:	images, banners, .htaccess, favicon, config.php ( ricontrollato le informazioni presenti, per tranquillità)
05. FTP > Ricaricato tutti file del forum originale + i file personalizzati delle varie addon utilizzate
06. FTP > Caricato il file tools.php, recuperato il mio utente adim, abilitato forums
07. FTP > Cancellato tools.php e /install/install.php
08. ACP > Caricato "VSa - Advanced Forum Rules" add-on (download ultima versione: vB3.x, vB4.x)
09. ACP > Re-importati tutti i vari componenti aggiuntivi utilizzati, facendo attenzione di attivare il flag "sovrascrivere"
10. ACP > Maintenance > aggiornato user titles, fix broken user profiles, repair and optimize tables

Fonte: Hacked by Team Animus? - vBulletin.org Forum


Consiglio agli utilizzatori di tale addon di:

• procedere con una verifica del proprio forum e ad un aggiornamento dell’addon
• seguire la discussione in precedenza segnalata al fine di verificare nuovi sviluppi, in essa vengono riportati altri due gruppi di hacker, vi sconsiglio vivamente di seguire i link in quanto il mio antivirus sul link http:/ / pro2leet.net/ forum.php ha rilevato la minaccia Mal/HTMLGen-A

Faccio notare anche l’intervento di Zachery dello vBulletin Support Staff

Not every site had the same things done to it honestly. Having cleaned a number of them, lots of different things were done to different sites, not all steps were done to all of the sites. It would be in your best intrests to RESTORE A BACKUP, or contact vBulletin support for help.

Come sempre in questi casi la cosa migliore è:

• procedere con la cancellazione di tutti i file presenti nella cartella forum (fate attenzione alle eventuali cartelle delle immagini, avatar, allegati)
• riscaricare il pacchetto di installazione dalla propria area member e ricaricare il tutto
• recuperare un backup recente (certo verranno persi alcuni interventi ma almeno siamo sicuri dell’ambiente)
• ricaricare tutti gli addon installati

Attenzione addon e file provenienti da siti non ufficiali aumentano il rischio di eventuali attacchi.

Spero di aver fatto cosa gradita e a vostra disposizione



mal_html_gen_a.png