GoDaddy sendet Benachrichtigungen an Kunden, um sie auf eine Sicherheitsverletzung beim Hosting aufmerksam zu machen. GoDaddy beschreibt die Sicherheitsverletzung vage als eine Person, die Anmeldeinformationen erhält, die dem Hacker die Möglichkeit gegeben haben könnten, Website-Dateien hochzuladen oder zu ändern.
GoDaddy Hosting hat sich für sechs Monate verpflichtet
Nach Angaben des kalifornischen Justizministeriums trat die Sicherheitsverletzung am 19. Oktober 2019 auf und wurde ungefähr sechs Monate später am 3. Mai 2020 gemeldet.
Screenshot von der Website des Justizministeriums von Kalifornien für Ankündigungen von Sicherheitsverletzungen.
SSH Access Breach
SSH ist als Secure Shell bekannt. Es ist ein sicheres Protokoll, das zum Ausführen von Befehlen auf einem Server sowie zum Hochladen und Ändern von Dateien verwendet wird.
Wenn ein Angreifer SSH-Zugriff auf eine Website hat, ist die Website gefährdet.
Im Allgemeinen sollten nur Benutzer auf Administratorebene SSH-Zugriff haben, da umfangreiche Änderungen an den Kerndateien einer Website vorgenommen werden können.
GoDaddy gab bekannt, dass ein unbekannter Angreifer einige seiner Server kompromittiert hatte.
Offizielle E-Mail-Erklärung von GoDaddy:
"Die Untersuchung ergab, dass eine nicht autorisierte Person Zugriff auf ihre Anmeldeinformationen hatte, die für die Verbindung zu SSH auf ihrem Hosting-Konto verwendet wurden."
Wie wurde SSH begangen?
Laut GoDaddy begann das Engagement für SSH im Oktober 2019 und wurde im April 2020 entdeckt.
Abgesehen von der allgemeinen Aussage, wann der Verstoß aufgetreten ist und dass er etwas mit SSH zu tun hat, scheint GoDaddy keine zusätzlichen Informationen veröffentlicht zu haben.
- GoDaddy sagt nicht, ob dies eine neue Sicherheitslücke ist.
- GoDaddy hat nicht gesagt, ob es sich um eine bekannte Sicherheitslücke aus dem Oktober 2019 handelt, die nicht behoben wurde.
Das einzige, was GoDaddy zugab, war, dass die Server im Oktober 2019 von einem Dritten kompromittiert wurden und sechs Monate lang unentdeckt blieben.
SSH-Sicherheitslücke im Oktober
Eine Suche nach SSH-Schwachstellen zeigt, dass in OpenSSH 7.7 bis 7.9 und in allen Versionen von OpenSSH 8 bis 8.1 eine schwerwiegende Schwachstelle entdeckt wurde.
Die Sicherheitsanfälligkeit in OpenSSH wurde am 10.09.19 in Version 8.1 behoben. Dieses Datum stimmt mit dem Datum im Oktober 2019 überein, das GoDaddy als das Datum bestätigt hat, an dem die Hosting-Server kompromittiert wurden.
GoDaddy hat nicht bestätigt, ob das oben genannte die Sicherheitsanfälligkeit ist.
Der Bericht ist im Bericht der National Vulnerability Database CVE-2019-16905 der US-Regierung archiviert
Die Sicherheitsanfälligkeit wurde jedoch von SecuriTeam entdeckt und beschrieben, wo sie vollständig offengelegt wurde.
Dies ist die SecuriTeam-Beschreibung:
"Wenn ein Angreifer einen Status generiert, in dem" aadlen "+" encrypted_len "größer als INT_MAX ist, kann die Prüfung erfolgreich bestanden werden …
Jede OpenSSH-Funktionalität, die den privaten XMSS-Schlüssel analysieren kann, ist anfällig. "
Dies kann bedeuten, dass die für die Wartung der GoDaddy-Server verantwortliche Person die Sicherheitsanfälligkeit nicht aktualisieren konnte und die Server bis April 2020 nicht gepatcht wurden.
Aber wir können nicht genau wissen, was passiert ist. GoDaddy hat nicht beschrieben, warum die Sicherheitsverletzung sechs Monate lang nicht erkannt wurde.
GoDaddy überspringt Exploit-Details
GoDaddy hat die Sicherheitslücke nicht angegeben. GoDaddy hat nicht gesagt, ob dies eine neue Sicherheitsanfälligkeit ist oder ob es sich um die oben beschriebene Sicherheitsanfälligkeit vom Oktober 2019 handelt.
GoDaddy hat nicht angegeben, ob Websites ihre Dateien geändert haben.
Laut einem Bericht von Threatpost betraf diese Sicherheitsverletzung 28.000 Hosting-Konten.
GoDaddy setzt Passwörter zurück
GoDaddy schickte eine E-Mail an betroffene Kunden, um sie darüber zu informieren, dass ihre Passwörter geändert wurden. Die E-Mail enthält einen Link zu den Verfahren zum Zurücksetzen des Kennworts.
Wie viele auf Godaddy gehostete Websites wurden gehackt?
GoDaddy hat nicht angegeben, ob eine Website gehackt wurde. In der an Kunden gesendeten E-Mail wurde angegeben, dass GoDaddy "verdächtige Aktivitäten" auf den Servern seiner Kunden festgestellt hat.
Laut GoDaddy:
"Die Untersuchung ergab, dass eine nicht autorisierte Person Zugriff auf ihre Anmeldeinformationen hatte, die für die Verbindung zu SSH auf ihrem Hosting-Konto verwendet wurden.
Wir haben keine Beweise dafür, dass Dateien in Ihrem Konto hinzugefügt oder geändert wurden. Die nicht autorisierte Person wurde von unseren Systemen blockiert, und wir untersuchen weiterhin die möglichen Auswirkungen auf unsere Umwelt. "
Wie haben Hacker Zugang erhalten?
GoDaddy hat keine Informationen darüber bereitgestellt, wie Hacker Zugriff auf SSH-Anmeldeinformationen erhalten haben. GoDaddy schickte jedoch eine E-Mail an gefährdete Kunden, in der sie darüber informiert wurden, dass ihre Passwörter zurückgesetzt wurden.
Zitat
Lesen Sie die E-Mail von GoDaddy an betroffene Kunden, die beim Justizministerium von Kalifornien eingereicht wurden
Das PDF-Dokument kann vom kalifornischen Justizministerium heruntergeladen werden: SSH Client Email
Mehr Ressourcen
- Wie wirkt sich die Website-Sicherheit auf Ihre SEO aus?
- HTTP oder HTTPS? Warum brauchen Sie eine sichere Site?
