Rilevare le backdoor di Drupalgeddon e Drupalgeddon2 sui siti Drupal
Drupalgeddon (ottobre 2014) e Drupalgeddon2 (marzo 2018) sono stati attacchi automatici su larga scala. Molti siti colpiti allora non sono mai stati ripuliti del tutto, e le stesse tecniche si usano ancora.
Le backdoor restano anche dopo l'aggiornamento.
Aggiornare Drupal chiude la falla, non rimuove quello che l'attaccante ha già lasciato. Il PSA-2014-003 di drupal.org lo diceva chiaramente: chi non aveva aggiornato entro poche ore doveva considerare il sito compromesso.
Le tracce sono in posti diversi: una riga nel database, un utente in più, un file PHP tra le immagini, poche righe in fondo a un file JavaScript del core.
Cerchiamo ogni traccia dove l'attacco la lasciava.
Database
Su Drupal 7 controlliamo
menu_router: una callback versofile_put_contents,asserto funzioni simili è un allarme critico.File
PHP nella cartella
sites/default/files,.htaccessdi protezione cambiato, firme come il miner Coinhive iniettato inmisc/jquery.once.js.Account
Ogni nuovo amministratore, anche creato direttamente nel database, compare al sync successivo.
Vuoi provarlo su un sito vero? La prova di 30 giorni non chiede la carta di credito.
Prova gratisDomande frequenti
Trovate tutte le varianti di malware?
No. Le firme cercano strutture documentate di incidenti reali. Un riscontro va sempre verificato, e l'integrità del core copre le modifiche che le firme non conoscono.
Il controllo di menu_router vale anche per Drupal 8 e successivi?
No, in Drupal 8 il routing è cambiato. Lì contano integrità del core, file sospetti e nuovi amministratori.
Da vedere insieme
- Drupal 7 è a fine supporto: come proteggere i siti che lo usano ancoraMonitoraggio, integrità, backdoor di Drupalgeddon e backup su Drupal 7, anche con PHP 7.1.
- Malware PHP nella cartella uploads: come trovarlo subitoPHP negli upload, anche con nomi come .php.jpg, e file sospetti.
- Verifica dell'integrità dei file del core di Drupal, anche nei progetti ComposerOgni file del core confrontato con l'archivio di drupal.org, archivi e Composer.
- Monitoraggio dei siti Drupal per le agenzie webUn modulo Drupal nativo, con release insicure e integrità del core da drupal.org.
Provalo sui siti dei tuoi clienti.
Collega oggi i primi siti e guarda cosa ci trova SitePing.
- Tutte le funzioni di Complete tranne i backup
- Fino a 10 siti
- Per iniziare non serve la carta di credito
- Alla fine scegli un piano o passi a Free, e non paghi niente
Hai già un account? Accedi. Preferisci guardare prima un sito? Audit gratuito in sola lettura.