Een nieuw beveiligingslek in het populaire Plesk-beheerderspaneel wordt actief gebruikt om een botnet van servers op te zetten. Via Plesk is het mogelijk om websites en domeinen te beheren, of bijvoorbeeld e-mailadressen voor een domein aan te maken. Deze week publiceerde beveiligingsonderzoeker Kingcope een kwetsbaarheid waarvoor nog geen update beschikbaar is.

Volgens het Internet Storm Center zouden alleen Plesk-installaties in een bepaalde serverconfiguratie kwetsbaar zijn, maar is het onduidelijk hoeveel servers op deze manier geconfigureerd zijn.

Botnet
Op de Full-disclosure mailinglist is nu een bericht verschenen van 'RepoCERT'. Twee onderzoekers van RepoCERT onderzochten het door Kingcope onthulde lek, toen ze een botnet ontdekten dat de kwetsbaarheid gebruikte om kwetsbare webservers met een kwaadaardige IRC-bot te infecteren.

De analyse van de bot leverde het adres van een IRC-server op, maar die stond geen verbindingen toe. Ironisch genoeg was deze server kwetsbaar voor een lek dat eerder door Kingcope was gepubliceerd. Via dit lek wisten de onderzoekers de IRC-server, die ook als Command & Control-server voor het botnet fungeerde, over te nemen.

Ontsmetting
In totaal zouden meer dan 900 webservers met kwetsbare Plesk-installaties verbinding met de server maken, en kwamen er elk uur zo'n 40 besmette webservers bij. "Dat konden we niet tolereren", aldus de onderzoekers. Die schreven een tool om de besmette servers te desinfecteren, wat via een script gebeurde dat van het Plesk-lek gebruik maakt.

Op deze manier werden alle servers zonder medeweten van de eigenaren ontsmet en het botnet uitgeschakeld. De scripts en verwijdertool zijn nu openbaar gemaakt. Het bestaan van de malware wordt bevestigd door Malware Must Die!, een groep van white hat beveiligingsonderzoekers.

Update 14:08
Parallels, de organisatie die de Plesk software ontwikkelt, zegt op Slashdot dat het nu geopenbaarde lek een variatie van een kwetsbaarheid is die van vorig jaar dateert en alleen bij oudere installaties aanwezig is.

Alle ondersteunde Plesk-versies zijn niet kwetsbaar. Klanten die de niet meer ondersteunde, legacy-versies van Plesk gebruiken krijgen het advies om te upgraden of een niet ondersteunde workaround toe te passen.