<div dir="ltr"><div dir="ltr"><div dir="ltr" class="gmail_signature"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><a href="https://www.zdnet.com/article/popular-dark-web-hosting-provider-got-hacked-6500-sites-down/">https://www.zdnet.com/article/popular-dark-web-hosting-provider-got-hacked-6500-sites-down/</a><br><br clear="all"><div><div dir="ltr"><div dir="ltr"><div dir="ltr"><b><span style="font-size:10pt"></span></b><span style="font-size:10pt"></span><span style="font-family:arial,helvetica,sans-serif"></span><p style="margin:0px 0px 21px;color:rgb(8,14,20);font-family:Raleway,sans-serif;font-size:18px">Daniel's Hosting, one of the largest providers of Dark Web hosting services, was hacked this week and taken offline, <em>ZDNet</em> has learned from one of our readers.</p><div style="color:rgb(8,14,20);font-family:Raleway,sans-serif;font-size:18px"></div><div class="gmail-relatedContent gmail-alignRight" style="float:right;margin-left:30px;margin-top:5px;clear:right;padding:0px 0px 20px;display:table;width:220px;line-height:1.1;color:rgb(8,14,20);font-family:Raleway,sans-serif;font-size:18px"><h3 class="gmail-heading" style="line-height:1.25em;margin:0px 0px 10px;font-size:0.75em;color:rgb(222,20,0);text-align:center;text-transform:uppercase;clear:left"><br><br></h3></div><p style="margin:0px 0px 21px;color:rgb(8,14,20);font-family:Raleway,sans-serif;font-size:18px">The hack took place on Thursday, November 15, according to Daniel Winzen, the software developer behind the hosting service.</p><p style="margin:0px 0px 21px;color:rgb(8,14,20);font-family:Raleway,sans-serif;font-size:18px">"As per my analysis it seems someone got access to the database and deleted all accounts," he said in a message posted on the DH portal today.</p><p style="margin:0px 0px 21px;color:rgb(8,14,20);font-family:Raleway,sans-serif;font-size:18px">Winzen said the server's root account was also deleted, and that all 6,500+ Dark Web services hosted on the platform are now gone.</p><p style="margin:0px 0px 21px;color:rgb(8,14,20);font-family:Raleway,sans-serif;font-size:18px">"Unfortunately, all data is lost and per design, there are no backups," Winzen told <em>ZDNet</em> in an email today. "I will bring my hosting back up once the vulnerability has been identified and fixed."</p><p style="margin:0px 0px 21px;color:rgb(8,14,20);font-family:Raleway,sans-serif;font-size:18px">"As of now I haven't been able to do a full analysis of the log files and need to further analyze them, but based on my findings so far I believe that the hacker has only been able to gain administrative database rights. There is no indication of having had full system access and some accounts and files that were not part of the hosting setup were left untouched," Winzen told us.</p><p style="margin:0px 0px 21px;color:rgb(8,14,20);font-family:Raleway,sans-serif;font-size:18px">"I might re-enable the service once the vulnerability has been found, but right now I first need to find it," he added.</p><div style="color:rgb(8,14,20);font-family:Raleway,sans-serif;font-size:18px"></div><p style="margin:0px 0px 21px;color:rgb(8,14,20);font-family:Raleway,sans-serif;font-size:18px">And for the past two days, Winzen has been doing just that, looking at possible vulnerabilities that the hacker might have exploited to gain access to his server.</p><p style="margin:0px 0px 21px;color:rgb(8,14,20);font-family:Raleway,sans-serif;font-size:18px">Currently, he identified one flaw, a PHP zero-day vulnerability. Details about this unpatched vulnerability were known for about a month <a href="https://www.youtube.com/watch?v=M2hzLzfqZj8" target="_blank" rel="noopener noreferrer" style="text-decoration-line:none;color:rgb(17,116,199)">in Russian PHP programming circles</a>, but the flaw gained a lot of attention among the wider programming and infosec communities, <a href="https://www.reddit.com/r/netsec/comments/9wzwgw/0day_bypassing_disabled_exec_functions_in_php_via/" target="_blank" rel="noopener noreferrer" style="text-decoration-line:none;color:rgb(17,116,199)">on November 14</a>, a day before the hack.</p><p style="margin:0px 0px 21px;color:rgb(8,14,20);font-family:Raleway,sans-serif;font-size:18px">But Winzen told <em>ZDNet</em> that he doesn't believe this to be the hacker's actual point of entry.</p><p style="margin:0px 0px 21px;color:rgb(8,14,20);font-family:Raleway,sans-serif;font-size:18px">"It is a vulnerability reported as a possible point of entry by a user and my setup was, in fact, vulnerable," he told us. "However I would deem it as unlikely to have been the actual point of entry as the configuration files with database access details were read-only for the appropriate users and commands run by this vulnerability shouldn't have had the necessary permissions."</p><p style="margin:0px 0px 21px;color:rgb(8,14,20);font-family:Raleway,sans-serif;font-size:18px">Until then, Winzen promised more updates on the DH portal as his investigation continues. The German developer also told <em>ZDNet</em> that the hack might also be "an opportunity to improve some bad design choices of the past and start with an all new and improved setup, which I expect to be able to provide in December."</p><p style="margin:0px 0px 21px;color:rgb(8,14,20);font-family:Raleway,sans-serif;font-size:18px">After the Anonymous hacker collective <a href="https://www.bleepingcomputer.com/news/security/anonymous-hacks-and-takes-down-10-613-dark-web-portals/" target="_blank" rel="noopener noreferrer" style="text-decoration-line:none;color:rgb(17,116,199)">breached and took down Freedom Hosting II</a>, another popular Dark Web hosting provider, in February 2017, Daniel's Hosting became the largest hosting provider for Dark Web services.</p><p style="margin:0px 0px 21px;color:rgb(8,14,20);font-family:Raleway,sans-serif;font-size:18px">The service has been used to host everything from malware operations to political blogs, and the list of suspects who might have been interested in hacking DH ranges accordingly, from rival cybercrime gangs to nation-state hackers looking to track down dissidents and political activists.</p><p style="margin:0px 0px 21px;color:rgb(8,14,20);font-family:Raleway,sans-serif;font-size:18px">The hack might have also been facilitated by the fact that the DH service's source code has always been <a href="https://github.com/DanWin/hosting" target="_blank" rel="noopener noreferrer" style="text-decoration-line:none;color:rgb(17,116,199)">open-sourced on GitHub</a> and might have provided attackers with a more broad look into the service's inner guts.</p></div></div></div></div></div></div></div></div></div></div></div></div></div>