Ajankohta: 16.10 klo. 21.20 ja 17.10 klo. 7.30

Palvelimet: C1

Syy: hyökkäys palvelimelle

Vaikutus: hidastumista ja katkoksia palvelussa

Pahoittelemme häiriötä palvelussa. Palvelinta vastaan on hyökätty voimakkaasti eilisen illan ja tämän aamun aikana. Eilisen illan aikana hyökkääjien tarkoitus oli häiritä mahdollisimman monen käyttäjän palveluiden toimintaa sotkemalla tiedostoja. Hyökkääjät onnistuivat sotkemaan vain yksittäisiä tiedostoja muutamilta käyttäjiltä, kun hyökkäys saatiin torjuttua. Sotketut tiedostot on palautettu suurimmilta osin varmuuskopioista eikä hyökkääjät päässeet käsiksi arkaluontoisiin tietoihin. Mikäli havaitsette vielä sotkettuja tiedostoja, olkaa hyvä ja ottakaa yhteyttä asiakaspalveluumme, niin palautamme ne varmuuskopioista.



Tänään aamulla alkoi hyökkäyksen toinen aalto, jonka tarkoituksena on estää palvelun normaali toiminta, eli niin sanottu palvelunestohyökkäys. Teemme parhaillaan kaikkemme, jotta saisimme hyökkäyksen pysäytettyä ja että palvelu palaisi normaaliin toimintaansa. Pahoittelemme tilanteen aiheuttamaa haittaa ja harmia.

[10:30]

Vihdoin näyttäisi siltä, että hyökkäys on saatu torjuttua ja se vaikuttaisi hiljalleen laantuvan. Alamme varovaisesti avamaan eri palveluita ensimmäisenä luonnollisesti sähköposti. Katkoksen aikana lähetetyt sähköpostit saapuvat yleensä noin vuorokauden sisällä. Seuraamme tilannetta ja teemme kaikkemme tilanteen mahdollisimman nopeaan neutralisointiin.

[11:20]

Valitettavasti heti, kun yritimme palauttaa webpalvelua, niin hyökkäys alkoi uudestaan. Verkontoimittajamme yrittää myös sulkea hyökkäävää liikennettä pois verkosta, mutta kyseessä on valitettavasti hajautettu hyökkäys, joka vaikeuttaa merkittävästi tilannetta. Teemme parhaamme tilanteen ratkaisemiseksi mahdollisimman nopeasti.

[15:40]

Hyökkäys on nyt saatu täysin torjuttua ja palvelu on alkanut palautua normaaliin tilaan. Teemme välittömiä toimenpiteitä jo tämän päivän aikana vastaavanlaisen hyökkäyksen estämiseksi, niin palvelimen sovellustasolla kuin myös rautatasolla. Vaikka hyökkäyksen kohteeksi johtuminen ei luonnollisestikkaan ole palveluntarjoajan tai kenenkään muun vika, niin haluamme silti tarjota C1-palvelimen asiakkaillemme hyvitystä tästä ikävästä tapahtumasta. Päivitämme tätä sivua vielä tänään ja kerromme tarkemmin hyvityksistä, joita haluamme tarjota.

[...]

Muutamia muutoksia on tehty palvelimelle hyökkäyksen seurauksena asiakkaiden palveluihin: SSH-yhteyden aktivoiminen tulee erikseen pyytää jatkossa asiakaspalvelusta.

Kaikki palvelimemme on tämän viikon kuluessa varustettu palomuurilaitteistolla, joka on erityisesti suunniteltu estämään tämän tyyppiset palvelunestohyökkäykset. Olemme myös nyt ostaneet kaikille palvelimillemme erillisen palvelun, joka takaa ajantasaisen suojautumisen uusimpiin ja välittömiin uhkiin järjestelmätasolla.

Tämän lisäksi annamme kaikille C1-palvelimen asiakkaille 20 % lisää levytilaa veloituksetta ja pysyvästi tämän ikävän hyökkäyksen tuoman mielipahan vastalauseeksi. Lisälevytila aktivoituu muutaman päivän kuluessa.

[...]

Hyökkäyksen jäljiltä aladomainit ja lisädomainit eivät ole linkittyneet oikein. Tiedostot ovat molemmissa tallessa, mutta aladomaini tai lisädomaini tulee ensin poistaa rinnakkaisdomaineista ja sitten luoda uudelleen aladomainina tai lisädomainina oikeaan hakemistoon. Voimme myös palauttaa asiakkaan puolesta varmuuskopion pyynnöstä ja veloituksetta. cPanelin-valmistaja selvittää mistä kyseinen ongelma johtuu.

Yksityiskohtainen ohje omatoimiseen korjaukseen:

1. kirjautukaa hallintapaneeliin;

2. menkää kohtaan Domainit, Rinnakkaisdomainit ja poistakaa sieltä toimimattomat domainit;

3. menkää kohtaan Domainit, Lisädomainit tai Domainit, Alidomainit ja lisätkää domainit osoittamaan oikeaan hakemistoon.

Esimerkki 1. Lisädomain perttiperusmies.fi ei toimi päädomainin mattimeikalainen.fi/perttiperusmies.fi hakemistossa vaan osoittaa mattimeikalainen.fi tunnukseen. Poistetaan rinnakkaisdomaineista perttiperusmies.fi ja perttiperusmies.mattimeikalainen.fi, jonka jälkeen lisätään lisädomaineista perttiperusmies.fi ja hakemistoksi public_html/perttiperusmies.fi.

Esimerkki 2. Alidomain maija.mattimeikalainen.fi, joka toimii hakemistossa public_html/maija ei enää toimi. Poistetaan maija.mattimeikalainen.fi rinnakkaisdomaineista, jonka jälkeen lisätään alidomaineista maija ja hakemistoksi public_html/maija.

Toimenpiteiden jälkeen tunnukset toimivat pienen viiveen jälkeen normaalisti. Tiedostoja ei poistu eikä tiedostoihin tarvitse tehdä muutoksia korjauksen aikana. Mikäli lisädomaineilla tai rinnakkaisdomaineilla on ollut sähköpostiohjauksia käytössä, olkaa hyvä ja tarkistakaa, että ne ovat myös pakallaan.