Włamanie na serwis Hotscripts.pl

Z niepokojem zauważyliśmy dzisiaj dziwny komunikat na hotscripts.pl wskazujący, że witryna została zhackowana.Hotscripts.pl to duży polski serwis zbierający sporo rodzajów darmowych skryptów (asp, php, javascript i inne) i narzędzi, za pomocą których można zbudować gotowe serwisy internetowe.
Na chwilę obecną (sobota, 12 listopada 2011, 22:00) strona wygląda tak:

Oto oryginalna treść komunikatu, jaki widnieje na stronie:

demon (ten na socjalu w Niemczech) przestan udawac kogos kim nie jestes

oraz przestan kurwa pisac o rzeczach o ktorych nie wiesz i nie masz zielonego pojecia!

Pierdolisz czego ty nie masz i nie zrobiles a tak naprawde pierdolisz glupoty! zaslaniajac sie jakimis obiadkami czy 'nalotami' 997.

Wez sie typie ogarnij, bo tutaj (@network) nie szanujemy takich ludzi i jedziemy ich z takim zapalem jak ich mlodsze siostry w nocy! Won na localhost!

~Skynet Crew

Jednak fakty są zaskakujące, hotscripts.pl został zaatakowany kilka dni wcześniej.W Google istnieje kopia strony z 10 listopada 2011 r. z godz. 7:47 czasu polskiego i na tej kopii widać, że podmiana strony miała miejsce 10 listopada 2011 r. lub wcześniej.

Serwis http://tophack.pl który jest swoistym logiem wszelkich ataków hakerskich głównie na polskie strony podaje, że zgłoszenie włamania na hotscripts.pl miało miejsce już 8 listopada b.r. przez anonimowego użytkownika.

Wayback Machine niestety jedyną ostatnią kopię strony jaką posiada datuje na 16 lipca 2011 r. i wtedy na ww. domenie był macierzysty serwis ze skryptami dla webmasterów.

Kopia Wayback Machine z 16 lipca 2011 r. przedstawia się następująco:

Kto zaatakował?

Do ataku przyznała się grupa o pseudonimie ~Skynet Crew.W Polsce grupa ta też wcześniej atakowała, m.in. stronę Starostwa Powiatu Cieszyńskiego.Widocznie ktoś nadepnął jej na odcisk ;)

A kim jest ów demon żyjący na socjalu w Niemczech ? Nie wiemy, bo z nim wódki nie piliśmy ;)

Ale wiemy do kogo należy zarejestrowana domena hotscripts.pl

ABONENT:
firma: Silesia Consulting Sp. z o. o.
ulica: 3-Maja 76E
miasto: 41-400 Mysłowice
lokalizacja: PL
telefon: +48.691979791
ostatnia modyfikacja: 2011.08.10

Wnioski

Nie ma wątpliwości, że ataku dokonali hakerzy z krwi i kości, z krajów zachodnich (kodowanie ISO 8859-1).Kto zresztą używa czcionki monospace :-) Dlaczego nastąpił atak? My nie wiemy, ale właściciel tej strony z pewnością się domyśla ;)

Źródło zhackowanej strony na Pastebin