Tentativas de invasão em meu WHMCS

[Marco Antonio]

Mais este tipo de ataques não faz efeito..?? (no meu caso estou atualizado)

Não! ele so vai tentar e vc receber op e-mail, mais como ja atualizou o sistema nao gerara nada!

(essas sao as falas da propria WHMCS)

[zanin]

Não! ele so vai tentar e vc receber op e-mail, mais como ja atualizou o sistema nao gerara nada!

(essas sao as falas da propria WHMCS)

Isso para essa falha.

[Marco Antonio]

Olha o que acabei de receber agora neste instante:

Hi administrator, okay?

Remember me? I made an attempt to attack a XSS in your WHMCS. I have had no success, but I'm happy, WHMCS is the worst system I've ever seen, is totally insecure. I discovered new flaws and vulnerabilities.

But do not panic, your time has not arrived yet, I will invade other companies first, its that close.

I managed to break into a big company in the country of you, follow the print of the gains of month: http://i39.tinypic.com/534q4j.jpg

Well, this is only a warning for you to prepare and make a backup and everything you have.

Attention! This is not a SPAM. เ ℓ๏√э мý ¢๏µи†яý.

Thanks you. Bye Bye.

.

Tradução livre:

Oi administrador, ok?

Lembre-se de mim? Fiz uma tentativa de atacar um XSS no seu WHMCS. Não tive sucesso, mas eu estou feliz, WHMCS é o pior sistema que eu já vi, é totalmente inseguro. Descobri novas falhas e vulnerabilidades.

Mas não entre em pânico, o seu tempo ainda não chegou, vou invadir outras empresas em primeiro lugar, o seu próximo disso.

Consegui quebrar em uma grande empresa no país de você, siga a impressão dos ganhos do mês: http://i39.tinypic.com/534q4j.jpg

Bem, este é apenas um aviso para que você possa preparar e fazer um backup e tudo que você tem.

Atenção! Este não é um SPAM. เ ℓ ๏ √ э мý ¢ ๏ μи † яý.

Agradece. Bye Bye.

IP 66.232.107.140

Editado Dezembro 10, 2011 por Marco Antonio

[Cassiano Teixeira]

o Ip dele bate com os demais ataques - ou pode ser fraude?

Achei essas 2 informações sobre este Ip 66.232.107.140: 1) http://awesomescreenshot.com/086pw1f4b - 2) http://awesomescreenshot.com/029pw1gbc

Editado Dezembro 10, 2011 por Cassiano Teixeira
adicionar info dos Ips

[Marco Antonio]

o Ip dele bate com os demais ataques - ou pode ser fraude?

Achei essas 2 informações sobre este Ip 66.232.107.140: 1) http://awesomescreenshot.com/086pw1f4b - 2) http://awesomescreenshot.com/029pw1gbc

O ip é o mesmo, mais é um proxy ... mesmo assim someti ao suporte do whmcs o conteudo do ticket, assim que tiver resposta os atualizo.

[Marco Antonio]

O ip é o mesmo, mais é um proxy ... mesmo assim someti ao suporte do whmcs o conteudo do ticket, assim que tiver resposta os atualizo.

Bom resposta Rapida, directamente do MATT:

Thanks for the report. Most likely just scare tactics until we have any concrete proof of any other compromises of which there have been none so far.

Tradução livre...

"Obrigado pelo relatório. O mais provável é que seja apenas uma tática de intimidação, pois até agora nao tivemos nenhuma prova concreta de qualquer invação em nosso sistema".

[avonni]

Olha o que acabei de receber agora neste instante:

Tradução livre:

Oi administrador, ok?

Lembre-se de mim? Fiz uma tentativa de atacar um XSS no seu WHMCS. Não tive sucesso, mas eu estou feliz, WHMCS é o pior sistema que eu já vi, é totalmente inseguro. Descobri novas falhas e vulnerabilidades.

Mas não entre em pânico, o seu tempo ainda não chegou, vou invadir outras empresas em primeiro lugar, o seu próximo disso.

Consegui quebrar em uma grande empresa no país de você, siga a impressão dos ganhos do mês: http://i39.tinypic.com/534q4j.jpg

Bem, este é apenas um aviso para que você possa preparar e fazer um backup e tudo que você tem.

Atenção! Este não é um SPAM. เ ℓ ๏ √ э мý ¢ ๏ μи † яý.

Agradece. Bye Bye.

IP 66.232.107.140

Deu pra ver que o cara aí é folgado e se acha o rei da cocada preta... :eek:

Fodz é uma empresa que tá faturando 50~60k por mês ainda utilizar como base de tudo o WHMCS. Ainda mais nesses nestes últimos tempos de bugs e falhas. Se eles prezam por segurança, deveriam no mínimo investir em um sistema próprio. Isso se essa screenshot aí for verdadeira, né?! Vai saber! :o

Bom, aparentemente o maluco aí tá focado nas empresas do Brasil. Hum! Por que será? :confused:

Editado Dezembro 10, 2011 por Ysaac
Erro ortográfico

[chuvadenovembro]

Eu estava obervando o topico, e estava com a atualização do mês 11, achei que a atualização de agora era apenas p/ versão 5.0...conclusão :(

http://www.diigo.com/item/image/1cguv/ut1y

O cara conseguiu acessar meu sistema.

Não sei se tive sorte...pois estava online exatamente no momento em que ele acessou o whmcs.

Imediatamente removi o user que foi criado, redefini as senhas de todos os servidores, as keys também, desabilitei o ssh principal, fiz uma varredura com o maldet e encontrei o arquivo *** na pasta template_c

8e9789bc060c0c1098edb3bb04b61701^%%E1^E1B^E1B755E8%%emailtpl%3Aemailsubject.php

Nem me dei ao trabalho de descriptografar porque o Edvan já fez um otimo post sobre isso.

Depois disso apliquei o patch do mês 12 e estou agora na expectativa heheheh

[zanin]

Não sei se é relevante, mas vendo as msgs anteriores, o autor do blog abaixo assina seus posts com a assinatura "b0x":

http://null1337.wordpress.com/

sei lá rs

[Marco Antonio]

Honestamente!

Para mim o cara é brazuca....

O matt me pediu acesso a meu whmcs e diz que vai dar uma checada geral.... atualizo vcs assim que tiver possição...