RTV Papendrecht al 1+ week offline na hack

[rmtech]

Het gaat momenteel niet lekker in de Drechtsteden. Nadat MerweRTV uit Sliedrecht al enkele maanden niets publiceert of uitzendt na het vertrek van een vrijwilliger die zijn apparatuur mee had genomen, is nu RTV Papendrecht gehackt. Dat schrijft de omroep op Facebook.

Hun site lijkt meer dan een week geleden uit de lucht gegaan nadat er allerlei Japanse troep op stond. Een deel daarvan is nog terug te vinden als je op Google zoekt naar "site:rtvpapendrecht.nl".



Opmerkelijk is de huidige publicatiestrategie: men zet alle berichten op Facebook, en plaatst vervolgens screenshots van de Facebook-posts op Twitter. Pardon, X.

Nu lijkt rtvpapendrecht.nl een volledige lege Wordpress-installatie. Vraag me af er fout is gegaan, want normaal zou je een beetje goed bijgehouden Wordpress-site niet zomaar over moeten kunnen nemen. Hopelijk heeft men ook een back-up van alle artikelen, anders kan dit op lange termijn nog wel eens flink pijn gaan doen op gebied van vindbaarheid enz. Als mensen van de omroep dit lezen; sterkte met het herstellen van dit scenario!

[Petertje]

Er is een backup, alleen moet de backup terug gezet worden door vrijwilligers die het druk hebben, en ze moeten natuurlijk voorkomen dat ze gelijk weer gehacked worden. Lekker klusje dus. Hopelijk snel opgelost.

[sverrips]

Ik herken dit bericht, is al even oud. We hebben binnen ons pand een week of 3 geleden een besmette pc gehad. Aangezien we meldingen kregen op de mail dat geprobeerd werd via deze laptop op onze NAS server in te loggen wat mislukte, kon ik aan de gebruikte wachtwoorden zien dat we een besmet systeem binnen onze netwerk hadden. Aan de hand van de snelheid waarop binnen 1 seconden enkele inlognamen gebruikt werden, zagen we dus dat er een tool of script gebruikt werd. Een script betekend en zegt iets over het niveau van de hacker. Aangezien ook binnen deze enkele momenten meerdere systemen aangevallen waren wat we terug vonden bij het bekijken van de logfiles, heb ik zelf de hele zaak als gecomprimeerd beschouwd. Besmette laptop was onmiddelijk gevonden en bleek een prive laptop van iemand te zijn. We hebben alles in 12 uur tijd van het netwerk gehaald en alle backups terug gezet. Downtijd is er amper geweest aangezien we in een datacenter een noodserver als eerste ingedeeld hadden. Dat kostte een half uur en daarna kon de operatie beginnen. Alles zat mee, we hadden overal offline en resente backups van en we weten het niet zeker, maar het zou kunnen dat we een eventuele uitrol van ransomware nu voor waren. Totale operatie heeft 12 uur geduurd waarbij 7 systemen de image terug gezet is. Ik weet tot op de dag van vandaag nog niet of men binnen gekomen is, maar soms ga je uit van het ergste senario en als je de zaakjes op orde heb, is er zoals bij ons geen probleem. Als jullie het hebben over vlan en netwerk segmentatie, dan zijn we daar te kleinschalig voor met 7 pc's. Maar wat je altijd kunt doen en de beste wapen is, is offline, op meerdere lokatie's een backup hebben en bewaren en dat hebben we inderdaad.

[sverrips]

Ik herken dit bericht, is al even oud. We hebben binnen ons pand een week of 3 geleden een besmette pc gehad. Aangezien we meldingen kregen op de mail dat geprobeerd werd via deze laptop op onze NAS server in te loggen wat mislukte, kon ik aan de gebruikte wachtwoorden zien dat we een besmet systeem binnen onze netwerk hadden. Aan de hand van de snelheid waarop binnen 1 seconden enkele inlognamen gebruikt werden, zagen we dus dat er een tool of script gebruikt werd. Een script betekend en zegt iets over het niveau van de hacker. Aangezien ook binnen deze enkele momenten meerdere systemen aangevallen waren wat we terug vonden bij het bekijken van de logfiles, heb ik zelf de hele zaak als gecomprimeerd beschouwd. Besmette laptop was onmiddelijk gevonden en bleek een prive laptop van iemand te zijn. We hebben alles in 12 uur tijd van het netwerk gehaald en alle backups terug gezet. Downtijd is er amper geweest aangezien we in een datacenter een noodserver als eerste ingedeeld hadden. Dat kostte een half uur en daarna kon de operatie beginnen. Alles zat mee, we hadden overal offline en resente backups van en we weten het niet zeker, maar het zou kunnen dat we een eventuele uitrol van ransomware nu voor waren. Totale operatie heeft 12 uur geduurd waarbij 7 systemen de image terug gezet is. Ik weet tot op de dag van vandaag nog niet of men binnen gekomen is, maar soms ga je uit van het ergste senario en als je de zaakjes op orde heb, is er zoals bij ons geen probleem. Als jullie het hebben over vlan en netwerk segmentatie, dan zijn we daar te kleinschalig voor met 7 pc's. Maar wat je altijd kunt doen en de beste wapen is, is offline, op meerdere lokatie's een backup hebben en bewaren en dat hebben we inderdaad.

EDIT:

Ik wil er nog aan toevoegen dat als je denkt dat je dat en dit soort dingen niet gaat overkomen, dream on ! Iedereen kan slachtoffer worden. Bij ons is het besef heel erg sterk dat ons dat ook een keer of wat overkomt, niet te voorkomen is en je dat in moet calculleren dat het juist gebeurd op het moment dat het net niet uit komt. Daarom is onze backup beleid ook zo streng, ik verzorgt steeds de backups, maar bij mij heeft dat alle voorrang (dat meestal 's nachts gedaan wordt) en is een van de belangrijkste dingen binnen zo'n omroep. Ransomware heeft niks te maken met oude installatie's of niet up-to-date zijn, maar wel met 0-day exploits en andere zaken. Goed om te weten, is dat je oude backups altijd bewaard ! Zo wissen we geen enkele backup zodat we in tijd terug kunnen !