Zilele trecute, pe 30 mai, site-ul Ministerului Educației, edu.ro, a fost spart și avea inserat un script de minat cryptomonede, pe lângă niște linkuri SEO care existau de mai mult timp..
Ieri, 2 iunie, specialiștii CERT.ro, despre care am stabilit că nu știu pe ce lume sunt, au sărit în ajutorul EDU.ro.
La scurt timp, reprezentanţii Ministerului Educaţiei au cerut, în scris, suportul specialiştilor CERT-RO pentru remedierea cât mai urgentă şi investigarea problemei de securitate. Imediat, o echipă de la CERT-RO, cu suportul Institutului de Cercetare în Informatică, a reuşit să obţină acces rapid la site.
Adică au avut un browser, IE6, de pe care au tastat, folosindu-se de toată expertiza de care beneficiau, adresa www.edu.ro și au obținut acces la site. Profesioniști până în măduva oaselor.
Dar asta nu e tot.
În urma investigaţiei, specialiştii CERT-RO au identificat şi eliminat acel script problemă, care era utilizat pentru minarea de criptomonedă (CoinHive). Site-ul edu.ro folosea o variantă neactualizată de Drupral (software CMS – content management system), o vulnerabilitate exploatată de atacatori.
Au identificat ceva despre care scrisese toată presa. Dap. Eliminat? Adică șters din site, ceva ce orice webmaster care nu e incompetent poate face. Dar webmasterul de la edu.ro nu e competent, altfel ar fi făcut update la Drupal.
Dar pe mine mă amuză altceva:
Totodată, recomandarea echipei CERT-RO a fost ca accesul la site din internet să fie suspendat până la implementarea măsurilor necesare securizării.
OK. Site-ul e în lucru de ieri, probabil că nu știu să facă update la Drupal. Și au nevoie de 130 linii de cod, 20 js-uri și 27 de css-uri ca să anunțe că sunt incompetenți.
Asta până zice ministrul că au nevoie de un nou site, buget alocat 100.000€, licitație câștigată de specialiști gen Siveco, Teamnet sau UTI.
Deci 100.000€ ca să instaleze un CMS open-source cu pluginuri open-source și o temă oarecare, da?
Money well spent.
ar merge un wordpress stripped sau un cms inhouse, cu buguri cât casa.
Va inselati amarnic – punem pariu ca sar alte IBM, Oracle sau MS (via intermediare, ofc) cu solutii gen WebSphere Portal, OAS etc?
Si cand va spuneam de IT-isti ca nu ar trebui scutiti de taxe voi spuneati ca nu ca batman, batman, batman !
Se vede clar ce se face in tara asta cu ajutorul „IT-ului”…
Mno, considera si invers, repara tu un site al statului, pentru care statul a refuzat sa plateasca pana acum, si devino responsabil pentru el, gratis, ca banii nu se aloca mai ales cand ceva merge. Dar ghici pe cine va suna orice directoras ca vrea sa urce un .bmp si nu intelege interfata noua.
Stai ba, adica ei nu sunt in stare sa faca cateva pagini si au instalat mizeria aia? Doamne fereste, si cat au bagat in „digitalizarea” Romaniei? Si daca ii dadeau 5 dolari unui indian pe fiver facea treaba mai buna.
Bine ca au lăsat sigla cu 100 România, ar trebui totuși modificata în ‘-100 Ani Românica’.
Imi place comunicatul cert. ro, nu știu cine l-a scris in fraze scurte, dacă il citești cu intonație ai impresie ca este un rezumat al unui film de acțiune.
Și tiff.ro avea un Drupal vechi și ceva script pt minat, dar nu era văzut de multe aplicații ca fiind nasol. Kaspersky l-a văzut ca fiind cu probleme. Le-am zis de script, l-au scos, dar au uitat să zică merci. Probabil l-au găsit și ei fix atunci.
Iar atribuirea se va face legal, adica in regim de urgenta. Costul de 100.000 de euro il consider prea mic, propun un 500.000 si un contract de intretinere de 2.000.000 pe doi ani de zile
minim.
e vreo 100k/pagina la stat.
acu sincer, cum statul e format preponderent din boi corupti care ar suge somajul sau inchisoarea daca n-ar fi statul, mi se pare normal sa ceri milioane pe un site, preferabil toata suma in avans.
vorbim de statul roman totusi, un jeg corupt care niciodata nu plateste la timp, care cere spagi pt orice, si care nu respecta contracte la modul “azi n-am chef”, stat care trebuia declarat null & void de mult timp. fix precum contractul social dintre noi toti si “statul”, contract mort, ingropat, toate cele.
De acord, dar contractul nu se acorda celui competent, ci aceluia de la care se intoarce minim 30% sub forma de parandarat
Mda.. nu prea e sters din site
https://www.edu.ro/user/login
Încă lucrează la implementarea măsurilor necesare securizării, adică să facă redirecționare automată către versiunea cu https. Dacă reușesc. Dacă nu, merge și așa.
pentru https e nevoie de specialiști de la NASA, nu merge oricum.
Eu stiam ca se lucreaza cu FBI si NSA la treaba asta, in fine…
O dovadă simplă și clară care ne spune ce specialiști, pardon găluști că e ziua rimelor, lucrează în forul suprem din educație.
Site-ul actual e creat de Siveco. Probabil ca și cei de la CAS au rămas fără mentenanță. Și știe toată lumea că doar fără mentenanță aceste site-uri „ieftine” marca Siveco/Teamnet/UTI sunt vulnerabile. Sau au pus ei scriptul de crypto pentru a „vedea” și alții cât de periculos e să rămâi fără mentenanță la site/sistem.
De ce nu vă oferiți voi să le faceți siteul pe gratis ?
gratis nu e bun. nu poți lua șpăgi dacă e gratis.
Acum inteleg de ce scrie sit si nu site, e sit arheologic.