Ataques

[Pedro]

Num resumo muito rápido, o fórum foi atacado hoje vários vezes, tendo a base de dados sido substituída por uma vazia (mas nenhuma informação foi acedida), muito provavelmente devido a uma vulnerabilidade do phpbb (pois o fórum estava actualizado até à versão mais recente). Como os backups são semanais e hoje era dia de backup, o último backup que possuía era o de 7 de Abril, pelo que perderam-se as mensagens e utilizadores registados entre 7 e 14 de Abril.

Para evitar os ataques, movi o fórum para SMF. No entanto, como foi um dia muito lento (apenas 2 ou 3 mensagens, todas sobre a mudança de fórum), optei por tentar voltar ao phpbb. Coloquei algumas medidas de segurança adicionais que deverão prevenir futuros ataques. Irei manter-me atento à evolução do fórum, para ver se surgem mais ataques. Durante este período, os backups passarão a ser diários.

Vou manter em stand-by a instalação de SMF. Deste modo, caso ocorra um novo ataque, poderemos recuperar em pouco tempo. Entretanto, espero que tenham paciência para ver se ultrapassamos esta situação aborrecida, provavelmente motivada por um miúdozito que tem um script novo e um excesso brutal de tempo livre...

Poderá ocorrer alguma instabilidade durante o fim-de-semana, caso haja um novo ataque, as medidas adicionais não funcionem e eu tenha de mudar definitivamente para o SMF. Caso isso ocorra, peço desde já desculpas pela falta de acesso e eventual perda de mensagens ou registos (que irei tentar minimizar).

[Lino]

Pois, eu notei porque houve mensagens que tinha escrito e que foram apagadas. Até pensei que alguém tinha apagado não sei por que razão e não tinha avisado.

[daniel322]

Uma pergunta: Então e as mensagens privadas enviadas durante esta ultima semana também se perderam?

[Pedro]

Todas as alterações efectuadas foram perdidas (tópicos, mensagens privadas, utilizadores, etc). Isto aconteceu mesmo na pior altura possível do intervalo de back ups.

[JulesS]

Todas as alterações efectuadas foram perdidas (tópicos, mensagens privadas, utilizadores, etc). Isto aconteceu mesmo na pior altura possível do intervalo de back ups.

Se calhar alguém sabia disso e escolheu o dia para maximizar os danos.

Eu pessoalmente n gostei muito do SMF, ou é por não estar habituada... n sei.
Habituamo-nos à casa e depois mudam a mobilia toda
Mas se for mais seguro tb nos habituamos novamente.

[Pedro]

Deve ter sido coincidência... ninguém sabia as datas em que faço backups (embora se notasse, porque o fórum ia abaixo enquanto eu os estava a fazer, daí eles estarem a ser apenas semanais). Em todo o caso, a partir de agora, os backups serão feitos em intervalos aleatórios.

Hoje de manhã penso que houve outra tentativa, mas as medidas adicionais aparentam ter aguentado. Já vamos em 21h sem danos, pelo que espero que o pior já tenha passado (os ataques ontem foram pelas 5h, 14h e 18h... duas dessas horas já passaram). Muito provavelmente foram mesmo script kiddies, em que bastou mudar algumas coisas deste lado e o script que usaram para os ataques deixou de funcionar. No entanto, a versão em SMF continua em stand-by, para podermos trocar rapidamente no caso de sofrermos mais algum ataque.

O report que foi submetido à equipa do phpbb para investigar este caso já foi atendido e já estive a fornecer-lhes o material pedido, pelo que estou também à espera de novidades da parte deles.

[nfh]

E a empresa onde tens o site alojado não faz backups? Eu tenho um site na Synhosting e se não me engano eles têm um esquema próprio de backups.

[Pedro]

Falei há pouco com eles, mas também não teria ajudado. Não têm um esquema de backups pré-definido (apenas quando há alterações no servidor), pelo que o mais recente já tinha 3 semanas. Em todo o caso, assim foi possível restabelecer rapidamente o fórum, tendo perdido apenas uma semana (que penso ser algo recuperável, até porque alguns dos tópicos já estão a ser reconstruídos pelos utilizadores).

Noutra nota, uma das coisas que aprendi ao longo dos anos é manter os meus próprios backups, porque nunca sabemos se podemos contar com os backups externos (muitas empresas anunciam backups diários, por exemplo, mas quando o cliente os pede acaba por descobrir que não os fazem).

Finalmente, em relação aos ataques, a equipa do phpbb já me contactou, confirmando que as medidas adicionais que tomei devem proteger o fórum de problemas futuros. Como também não ocorreu mais nenhum ataque com sucesso nas últimas 48 horas, a situação parece-me estar resolvida.

[SilentNoise]

Já agora, tens alguma ideia de qual seria a vulnerabilidade que eles estavam a explorar?

[Pedro]

O elemento do phpbb indicou-me a possível causa e confirmou que as mudanças efectuadas deverão prevenir que esta situação ocorra novamente, mas não indicou nada específico em relação à vulnerabilidade em questão.