Hacked before the patch

Een van mijn eigen Joomla-websites werd gehackt via een kritiek beveiligingslek in YOOtheme Pro, ruim zes uur voordat de beveiligingsupdate beschikbaar was. Ik heb YOOtheme Pro pas 10 minuten na de release van de patch bijgewerkt, maar de aanvallers waren toen al binnengedrongen.

Door de serverlogs en PHP-webshells te analyseren, kon ik de aanval stap voor stap reconstrueren. Ik ontdekte dat ten minste drie verschillende hackersgroepen toegang tot de website hadden verkregen. Ze plaatsten ongeveer 15 achterdeurtjes, maakten meer dan 5.600 .htaccess-bestanden aan en gebruikten de website om Japanse spampagina’s aan Google te tonen, terwijl normale bezoekers nog steeds de oorspronkelijke website te zien kregen.

In mijn blog leg ik uit hoe de aanvallers toegang kregen, wat ze deden, hoe ik de hack heb onderzocht en hoe ik de website heb hersteld met behulp van een schone back-up.

En het belangrijkste: ik deel wat ik van deze aanval heb geleerd, welke extra beveiligingsmaatregelen je Joomla-website kunnen beschermen, en waarom het belangrijk is om alles up-to-date te houden, maar waarom dat soms simpelweg niet genoeg is.