Niebezpiecznik

Jak informują nas czytelnicy, dziwne treści znajdują się — i najwyraźniej mogły znajdować się od ponad roku! — na serwisie eFaktura.gov[.]pl. Wyglada na to, że ktoś przejął konto jednego z pracowników i opublikował (lub podmienił) informacje, które dotyczą ciekawych tematów. Na przykład tego, jakie są najlepsze darmowe serwisy dla dorosłych. Po angielsku, niemiecku, rosyjsku. Wygląda to na typową “zapleczówkę” pod SEO. [UPDATE: niestety, serwis został też zhackowany (równolegle?) przez inną grupę. Więcej w aktualizacji].

Szczęśliwie, podmienione informacje nie są widoczne na głównej stronie serwisu eFaktura, bo zostały opublikowane w różnych “(pod)kategoriach”. Ale są widoczne dla Google i indeksowane w wyszukiwarce:

Problem dotyczy jednego użytkownika, który opublikował prawie 700 wpisów:

Pierwszy z dziwnie wyglądających artykułów datowany jest na czerwiec 2021 roku. To nie oznacza, że to czyjeś zaplecze SEO wisiało sobie na rządowej stronie od ponad roku. Treści prawdziwych newsów pana Pawła mogły zostać podmienione niedawno (lub antydatowane). Ale na pewno zhackowana zawartość wisi w serwisie eFaktura co najmniej od sierpnia, bo cache Google z takiej najdalszej daty udało nam się na szybko znaleźć. Niewykluczone, że jest gdzieś jeszcze starszy ślad, który potwierdzi, że nieautoryzowane treści wiszą od kilku(nastu) miesięcy, my zbadaliśmy wyrywkowo tylko kilka URL-i.

Nasz Czytelnik z kolei próbował przekazać informacje o tym włamaniu administratorom eFaktura, ale zobaczył to:

UPDATE: eFaktura zhackowana po raz drugi?

Jak zauważył nasz Czytelnik, serwis eFaktura został też zhackowany (równocześnie?) przez — jeśli wierzyć podpisowi — indonezyjskich hackerów, w odwecie za “Bjorkę”. Bjorka to hacker, który zhackował rząd Indonezji (i upublicznił ich dane). W prowilu na Twitterze miał ustawioną lokalizację jako Warszawa… (co nie znaczy, ze faktycznie jest Polakiem, ale jak widać Indonezyjczycy nie wnikali w to za bardzo ;).

Atak Indonezyjczyków nastąpił 14 września:

Miejmy nadzieję, że taki URL deface’a oznacza, że zbyt dużych uprawnień włamywacz nie miał i był w stanie jedynie uzyskać dostęp do tej ścieżki.

Korzystałem z eFaktura — co robić, jak żyć?

Warto póki co wstrzymać się z korzystaniem z tego serwisu. Ciężko powiedzieć, czy incydent jest wynikiem przejęcia uprawnień do czyjegoś konta, czy może wykorzystania jakiejś podatności (a jeśli tak, czy podatność ta została wykorzystana przez włamywaczy do czegoś więcej niż tylko wrzucenie treści pozycjonujących różne marki). Potencjalnie ktoś mógł umieścić w serwisie złośliwy skrypt, który mógłby przechwytywać dane wprowadzane lub wyświetlane przez użytkowników, ale na razie nie widać żadnych śladów, które wskazywałyby na to, że coś takiego miało miejsce. No i też na tej domenie zbyt wielu wrażliwych danych raczej nikt nie ma gdzie wprowadzić. Wszystko wygląda na typową “zapleczówkę” SEO, czyli użycie przejętego serwisu do pozycjonowania stron internetowych firm trzecich.

UPDATE: Biorąc pod uwagę, że WordPress na którym stoi eFaktura został zhackowany także przez Indonezyjczyków, to w zasadzie wariant optymistyczny “tylko zaplecze” stał się właśnie mniej optymistyczny…

Jeśli sytuacja ponownie się zmieni i okaże się, że incydent miał wpływ na Wasze dane, powiadomimy Was o tym w aktualizacji niniejszego artykułu. A jeśli sprawa będzie poważna, wyślemy do Was CyberAlert za pomocą naszej bezpłatnej aplikacji CyberAlerty ostrzegającej przed zagrożeniami dotyczącym Polaków w internecie. Więc warto naszą apkę zainstalować, jeśli jeszcze jej nie macie.

Jak analizować złośliwe oprogramowanie?

Jeśli kogoś interesuje analiza złośliwego oprogramowania, nie tylko takiego, które wstrzykuje się przez zhackowane serwisy internetowe, to zapraszamy w piątek, o godz. 20:00 na nasz webinar z podstaw analizy złośliwego oprogramowania. Pokażemy kilka przydatnych narzędzi, które pomogą Wam szybko ustalić co malware robi (co wykrada i gdzie to wysyła). Webinar jest dostępny w formule zapłać ile chcesz i mocno polecamy go wszystkim pracownikom SOC-ów ale także administratorom i DEVopsom/programistom, bo te umiejętności przydają się też podczas analizy niezłośliwych aplikacji. Zapisać można się tutaj.