VAD SOM HÄNDER
Forumet på hushboard.biz skickar besökare vidare till roidboard.to. Det sker inte på serversidan. Ett skadligt JavaScript har injicerats i forumets sidor och körs i din webbläsare. Skriptet ser ut som en statistikfunktion ("Site metrics"), men är ett verktyg för att stjäla inloggningsuppgifter.
VAD SKRIPTET GÖR MOT ALLA BESÖKARE
1. Omdirigering: Alla som inte är admin eller moderator skickas till
https://roidboard.to/.
2. Lösenordsfångst vid inloggning: Skriptet lyssnar på alla formulär med lösenordsfält. När du skickar in formuläret skickas användarnamn och lösenord i klartext till angriparen.
3. Lösenordsfångst vid autofyll: Skriptet kontrollerar lösenordsfält var 0,8 sekund. Om ett ifyllt lösenord (minst 6 tecken) står oförändrat i ungefär 2,4 sekunder skickas det också, även om du aldrig klickar på "logga in". Det fångar lösenord som webbläsaren eller lösenordshanteraren fyller i.
4. Cookies: Din cookie-lista (högst 900 tecken) skickas med, utom cookies vars namn innehåller "chat" eller "blockgets". Det kan innehålla sessions-ID som räcker för att ta över ditt konto.
5. Det följer med när sidan ändras: skriptet bevakar sidan och kopplar på sig självt på nya formulär som dyker upp.
Allt skickas dolt, via en osynlig iframe, till ett Google-formulär som angriparen kontrollerar. Du ser ingenting.
VAD SKRIPTET GÖR MOT ADMINS OCH MODERATORER
Personal känns igen på att sidan visar en länk till adm/index.php. De skickas inte vidare till roidboard.to, så ägarna ser aldrig omdirigeringen.
Skriptet läser det inloggade användarnamnet. Om det är något av dessa två konton riktas ett extra angrepp mot dem:
RIKTADE ANVÄNDARNAMN:
- Admin
- Istarapol
För dessa konton gör skriptet följande, en gång per dygn och konto:
1. Det skickar en förfrågan till adm/index.php med kontots cookies och kontrollerar om administrationspanelen (ACP) laddas utan nytt lösenord. Det vill säga om adminsessionen redan är inloggad.
2. Om ACP är öppen hämtar det panelen en gång till och kontrollerar vilka delar kontot kommer åt: formulärtoken, loggar, forumsinställningar, användarhantering och tillägg.
3. Det skickar sedan till angriparen: användarnamnet, om ACP var öppen, vilka delar som var åtkomliga och ACP-sessionens ID (ACP_SID).
Med ACP-sessions-ID:t kan angriparen ta över adminsessionen utan lösenord och sedan skapa nya adminkonton, ändra mallar och tillägg, läsa användardata och lägga in mer skadlig kod.
Skriptet fångar dessutom lösenord från admins och moderatorer på samma sätt som för alla andra, till exempel vid ACP-omautentisering.
ÄR DU BESÖKARE ELLER MEDLEM?
1. Logga inte in på hushboard.biz tills det är åtgärdat.
2. Byt lösenord överallt där du har använt samma lösenord som på forumet.
3. Om du har loggat in nyligen: aktivera tvåstegsverifiering där det går.
4. Misstänk ditt forumkonto som komprometterat.
ÄR DU ÄGARE ELLER ADMIN?
1. Byt lösenord för alla admin- och moderatorkonton, särskilt Admin och Istarapol, och avsluta alla sessioner (töm phpbb_sessions).
2. Hitta och ta bort den injicerade koden. Den ligger i databasen, inte i mallfilerna. Sök efter: data:text/javascript;base64,
3. Kontrollera om det finns nya admin- eller moderatorkonton och ändrade mallar eller tillägg.
4. Läs admin-loggen (ACP > Underhåll > Forumloggar) för att se hur det gick till. Kontrollera även webbserverns loggar och Cloudflare-loggar.
5. Uppdatera phpBB och alla tillägg. Byt även databas- och hosting-uppgifter.
6. Blockera domänerna nedan med CSP eller en Cloudflare-regel.
7. Rapportera GitHub-kontot och Google-formuläret som missbruk.
Räkna med att alla som loggat in på forumet sedan skriptet lades in har fått sina uppgifter stulna.
TEKNISKA SPÅR (IOC)
Laddar skript från:
https://bot-detector-ai.github.io/stats/analytics.js
Samma fil:
https://raw.githubusercontent.com/bot-detector-ai/stats/refs/heads/main/analytics.js
GitHub-konto:
bot-detector-ai
Omdirigering till:
https://roidboard.to/
Data skickas till:
docs.google.com/forms/d/e/1FAIpQLScSbMXiXV2GtYDhNFsrRy38lxtcri1vaGkQLvShVSeb Zy-kTw/formResponse
Spår i sidkällan:
<script src="data:text/javascript;base64,KGZ1bmN0aW9uKCl7dmFy...">
OKÄNT
Hur angriparen fick in koden är inte fastställt. Troliga vägar är ett stulet admin-lösenord, en kapad session eller en sårbarhet i ett tillägg. Det går att avgöra först med serverns och databasens loggar.
