Unsichere FTP-Passwörter führen zu eingeschleusten PHP-Skripten

Zusammenfassung

Manuel Schmitt beschreibt kompromittierte FTP-Zugänge, über die Angreifer PHP-Skripte auf Webhostingkonten hochluden.

Ideen

• Ein FTP-Passwort identisch zum Benutzernamen bietet praktisch keinen Schutz.
• Gültige Zugangsdaten lassen schädliche Uploads in Logs wie normale Kundenaktionen erscheinen.
• Incident Response umfasst Sperrung, Beweissicherung, Information und Bereinigung.
• Klartext-FTP vergrößert zusätzlich das Risiko abgefangener Zugangsdaten.

Einsichten

• Schwache Mandantenzugänge erzeugen Betriebsaufwand auch ohne vollständige Serverkompromittierung.
• Protokolle klären den Zugangsweg, aber nicht automatisch, wie ein Passwort verloren ging.

Fakten

• Die Angreifer luden PHP-Skripte über reguläre FTP-Benutzer hoch.
• Der Hoster deaktivierte Zugänge, sperrte Skripte und informierte betroffene Kunden.
• In einem geschilderten Fall entsprach das Passwort exakt dem FTP-Benutzernamen.

Empfehlungen

• Deaktiviere FTP zugunsten von SFTP oder FTPS und erzwinge starke Zugangsdaten.
• Alarmiere auf neue ausführbare Dateien und ungewöhnliche Uploadquellen.

Referenzen

• Manuel Schmitt auf Hostblogger: Originalbeitrag

Originalbeitrag auf Hostblogger lesen →

Der Link zur Originalquelle öffnet einen neuen Tab.