Uit voorzorg hebben wij de Plesk-extensie "SSH Terminal" op alle Plesk servers in ons beheer uitgeschakeld en verwijderd. Aanleiding is een inbraak op een Plesk server van klant, waarbij aanvallers via deze extensie volledige rootrechten kregen. In dit bericht leggen wij uit wat er is gebeurd, wat wij hebben gedaan en hoe u uw eigen Plesk server en websites veilig houdt.

Wat is er gebeurd?

Onze technici zagen op Plesk server van een klant een hogere belasting dan normaal. Bij nader onderzoek vonden zij onbekende processen en verdachte logins, en zijn zij direct ingegrepen. De aanvallers kwamen via de onderstaande stappen binnen op deze Plesk server:

1. Een verouderde website; via een kwetsbaarheid in een verouderde webapplicatie op een oude PHP-versie plaatsten zij een zogenoemde webshell: een script waarmee je van buitenaf opdrachten op de server uitvoert.
2. Een eigen beheerdersaccount; vanuit die webshell wisten zij hun rechten op deze server uit te breiden en in het Plesk panel binnen te komen. Daar maakten zij een extra beheerdersaccount aan met een onschuldig ogende naam, zodat zij ook na een wachtwoordwijziging toegang hielden.
3. De SSH Terminal; met dat account installeerden zij de extensie SSH Terminal. Die geeft vanuit de browser direct een root-shell, en gaat daarbij om de normale SSH-beveiliging heen, zoals een beperking op IP-adres.

Wat wij hebben gedaan

Op de getroffen server van de klant hebben wij de aanvallers verwijderd, hun accounts en achterdeuren opgeruimd en alle beheer wachtwoorden vernieuwd. Daarnaast hebben wij op al onze Plesk servers extra maatregelen genomen:

• SSH Terminal uitgeschakeld en verwijderd op alle Plesk servers in ons beheer, ook op de VPS'en van klanten van ons. De extensie kan daar niet zomaar opnieuw worden aangezet
• Alle Plesk servers gecontroleerd op dezelfde aanvalspatronen en soortgelijke logins; hierbij zijn geen andere servers gevonden met deze kenmerken
• Uitgebreidere en extensieve monitoring van alle Plesk servers de komende dagen

Zoals aangegeven is dit op dit moment één Plesk server van een klant geconstateerd en zijn er geen verdere bewijzen dat dit ook het geval was bij andere Plesk servers. De hierboven genoemde acties zijn derhalve uit voorzorg genomen.

Veilig werken met SSH in Plesk (alsook DirectAdmin)

• Gebruik een SSH-client op uw eigen computer/laptop, zoals de ingebouwde terminal van Windows, macOS of Linux, of een programma als PuTTY
• Log in met een SSH-sleutel in plaats van een wachtwoord, beveiligd met een wachtwoordzin. Zet daarna inloggen met alleen een wachtwoord uit
• Sta SSH alleen toe vanaf uw eigen IP-adres(sen) via de (Plesk) firewall van uw server
• Gebruik nooit hetzelfde wachtwoord voor SSH, Plesk, e-mail of andere diensten. Een wachtwoord manager helpt daarbij, hieronder een paar voorbeelden:
  • Bitwarden
  • Keeper
  • 1Password
  • Proton Pass
  • KeePassXC
  • Strongbox

Toch Plesk "SSH Terminal"-extensie gebruiken?

Op uw eigen VPS kunnen wij de SSH Terminal op verzoek weer inschakelen. Weet dan wel wat het risico is: iedereen die als beheerder in uw Plesk panel komt, heeft daarmee direct volledige rootrechten op de server. De terminal gaat om uw firewall en SSH-sleutels heen. Een uitgelekt of geraden panel wachtwoord betekent zo meteen dat uw hele server in handen van een ander is. Wij schakelen de extensie alleen weer in als u eerst het volgende heeft geregeld:

• Beheerderstoegang beperken tot uw eigen IP-adressen. In Plesk via Tools & Settings, Restrict Administrative Access, met het beleid "Denied from the networks that are not listed". Uw klanten en resellers kunnen gewoon blijven inloggen; de beperking geldt alleen voor beheerders.
• Tweestapsverificatie aanzetten voor het admin-account en voor alle extra beheerdersaccounts.
• Een sterk en uniek beheerderswachtwoord gebruiken, dat u nergens anders gebruikt.

Controleer daarnaast regelmatig onder Additional Administrator Accounts of er geen onbekende beheerders bij zijn gekomen, en kijk in het Action Log naar logins die u niet herkent.
Ons advies is om echter deze Plesk "SSH Terminal"-extensie niet gebruiken, daar dit (een flink stuk) minder veilig blijkt te zijn in de praktijk als een reguliere SSH client (zie hierboven).

Voorkom dit ook gehoste websites op uw Plesk server

Deze aanval begon bij een verouderde website. Dat is vrijwel altijd de zwakke plek, iets wat de laatste weken ook al vaak melden uiteraard. Houd daarom het volgende bij:

• Houd uw CMS, plugins en thema's actueel, zoals WordPress, Joomla of WooCommerce, en verwijder plugins en thema's die u niet gebruikt
• Gebruik een ondersteunde PHP-versie. Oude PHP-versies krijgen geen beveiligingsupdates meer, al heeft Plesk nog wel kritieke updates/patches uitgebracht voor PHP 7.4 en hoger
• Ruim oude websites en kopieën op. Een vergeten testsite of een map met een oude versie van uw site is een makkelijk doelwit
• Controleer uw Plesk servers regelmatig op updates, zeker vandaag de dag; Plesk brengt vaak updates uit waarvan sommigen niet direct automatisch worden geinstalleerd
• Gebruik altijd overal unieke, sterke wachtwoorden, voor Plesk, FTP, e-mail en databases (ook op het gebruik van sterke wachtwoorden hebben wij in het verleden al vaker op geattendeerd)

---