Website van Stanford University misbruikt voor hosten malafide content

Cybercriminelen blijken maandenlang de website van het Paul F. Glenn Center for the Biology of Aging van de Stanford University te hebben misbruikt om malafide content te hosten. Onder andere phishingpagina’s werden op de webserver van de universiteit gehost.

Dit meldt beveiligingsbedrijf Netcraft. De website zou inmiddels zijn opgeschoond, maar lange tijd cybercriminelen vrij spel hebben gegeven. De site zou in januari 2017 zijn gehackt, waarbij een cybercrimineel erin slaagde een PHP web shell te installeren in de top-level directory van de website. Via deze web shell is het mogelijk om onder andere content op de webserver toe te voegen, aan te passen of te verwijderen.

Web shell vermomd als WordPress-bestand

Deze eerste aanvaller heeft deze web shell verstopt door deze de naam ‘wp_conffig.php’ te geven, wat veel lijkt op legitieme bestanden op WordPress-servers. Deze aanpak lijkt succesvol te zijn geweest, aangezien de PHP shell na vier maanden nog steeds bereikbaar was.

In mei 2017 ontdekte ook andere cybercriminelen de vrij toegankelijke web shell en begonnen de webserver voor eigen doeleinden te gebruiken. Zo werd op de website onder andere een nieuwe web shell met meer functionaliteiten geïnstalleerd, meerdere phishingwebsites gehost, defacement pagina’s geüpload en mailer scripts toegevoegd, waarmee spam kan worden verstuurd.

Opgeschoond

Netcraft meldt zijn bevindingen enige tijd stil te hebben gehouden om de Stanford University de gelegenheid te geven de getroffen webserver op te schonen. De server is inmiddels volledig ontdaan van malafide content.