Глобальная DDOS атака на CMS Joomla и Worpress

02.08 16:00

На все наши сервера начали поступать DDOS апросы GET и POST на большое число сайтов всех клиентов. Запросы направлены на панель администратора CMS Joomla (POST /administrator/index.php) и форму авторизции Wordpress (POST /wp-login.php).

Сотруднками тех.поддержки составлены списки блокировки IP адресов, а также списки стран для временной блокировки доступа. На данный момент насчитано более 12000 атакующих IP из 10 стран.

По всей видимости атака носит глобальный характер и направлена именно на указанные CMS.

Владельцам данных CMS рекомендется установить дополнительные плагины для защиты от подбора паролей. Также рекомендуетя сменить расположение административных панелей и названия скриптов для авторизации пользователей (если воможно).

03.08 11:10 Атака продолжается, работа серверов восстановлена

На данный момент работа всех сайтов восстановлена.

Временно, полностью на уровне брендмауэра заблокированы запросы GET и POST к скриптам  /administrator/index.php,  /wp-login.php,  /admin.php

Соотвественно доступ к этим скриптам по указанным адресам будет невозможен до тех пор, пока длится атака.

- Для получения доступа к админ-панели Wordpress необходмо изменить адрес скрипта авторизации, переименовав его, например в wp-login1.php, а также изменить в нем все вхождения фразы wp-login.php на wp-login1.php. Копию измененного файла для версии 3.5 можно скачать здесь.

- Для получения доступа к админ-панели Joomla используйте URL вида /administrator//index.php или /administrator/index.php?

- Для получения доступа к админ панели DLE  необходимо переименовать файл admin.php в любой другой, затем в файле /engine/data/config.php изменить имя файла с admin.php на заданное.

Обратитесь в тех.поддержку, если с этим возникнут сложности.

С коллегами готовы обменяться списками атакующих IP для минимизации последствий данной атаки.

Также мы публикуем неполный список атакующих DDOS ботов (устарел).

Список активных атакующих стран IR, IN, EG, CY, GE, TW

10.09 12:00 Подбор паролей идет слабыми темпами

На сервере s9n установлена система блокировки неверных авторизаций для CMS Wordpress. Для остальных CMS разрешен прямой доступ к формам авторизации.

01.10 12:00

Система блокировки неверных авторизаций отключена. Всем владельцам CMS Wordpress, Joomla, DLE рекомендуется установить модули защиты от подбора паролей самостоятельно.

Благодарим за внимание.