nicht angemeldet
Webspace bei 1und1 gehackt
Hallo Forum,
Am Dienstag wurden drei Domains von verschiedenen meiner Kunden gehackt. Alles mittlere Standard-Webhostingpakete bei 1und1. Es wurde Schadcode in PHP- und JS-Dateien eingeschleust. Ist alles fast gleichzeitig innerhalb weniger Stunden geschehen. Eine der drei Seiten wurde bereits Mittwoch morgen von Google als "attackierend" erkannt. Alle drei Seiten wurden inzwischen vom Schadcode bereinigt und die Passworte geändert. Somit bleibt nur noch die Frage nach der Ursache. Hier hab ich noch keine abschließende Erkenntnis, was recht unbefriedigend ist.
Der erste Verdacht, dass die FTP-Passworte von meinem Rechner ausgespäht wurden, scheint unwahrscheinlich, da eines der genutzen Passworte mir nie bekannt war und somit nirgends gespeichert sein konnte. Außer natürlich bei dem Kunden selbst oder seinem früheren Dienstleister. Es gab auch keine Fehllogins in den Logs, so dass reines Ausprobieren ausgeschlossen werden kann.
Gibt es die Möglichkeit, dass direkt über mögliche Sicherheitslücken in die FTP-Server bei 1und1 eingebrochen wurde und dort die FTP-Nutzer gekapert werden konnten (auch ohne Passwort)? Ist jemandem von euch gerade ähnliches passiert? Ich möchte auf diesem Weg diese Möglichkeit ausschließen können.
Viele Grüße
Max
-
Gibt es die Möglichkeit, dass direkt über mögliche Sicherheitslücken in die FTP-Server bei 1und1 eingebrochen wurde und dort die FTP-Nutzer gekapert werden konnten (auch ohne Passwort)?
Die gibt es stets, das ist aber weniger wahrscheinlich.
Was läuft auf den Mühlen denn für Software? Insbesondere naseweis installierte oder nicht aktualisierte Fertigskripte haben oft Sicherheitslücken so breit wie die A5 bei Frankfurt.
Jörg Reinholz
-
Hi Jörg,
es läuft einzig ein weniger bekanntes CMS. Laut Logs fanden direkte FTP-Logins statt. Dort sehe ich, den Usernamen und dass sich der Angreifer mehrere Dateien zum ansehen downgeloadet hat (FTP-Status "RETR") und die für ihn interessanten Dateien (php und js) mit kleinen Codeschnipseln ergänzt hat ("STOR"). Daher denke ich, dass nicht über das CMS eingebrochen wurde.
Grüße
Max-
Laut Logs fanden direkte FTP-Logins statt.
Unverschlüsseltes FTP?
Da können die Passwörter z.B. auch durch die Nutzung eines ungesichertes WLAN bekannt geworden sein.
Abschalten. Umsteigen auf ssh und Winscp. Am besten mit Schlüsseldateien.
Jörg Reinholz
-
Unverschlüsseltes FTP?
Ja, allerdings. Dies könnte die verursachende Schwachstelle sein. Müsste dann aber von unterschiedlichen Benutzer-PCs an verschiedenen Standorten zu verschiedenen Servern abgelauscht worden sein und dann "gleichzeitig" innerhalb weniger Stunden für gleichartige Attacken genutzt worden sein.
Die Variante, dass eine Sicherheitslücke direkt bei 1und1 angegriffen wurde, würde besser ins Bild passen. Aber dazu müssten andere 1und1-Kunden auch betroffen sein.
Das mit dem SFTP kommt ganz oben auf meine Todo-Liste.
Max
-
Sollte FileZilla immer noch Passwörter im Klartext abspeichern?
Wäre zu prüfen ob es benutzt wird.
-
Sollte FileZilla immer noch Passwörter im Klartext abspeichern?
Jahaaa...
--
Signaturen sind bloed.
-
-
-
-
Meine Herren!
Daher denke ich, dass nicht über das CMS eingebrochen wurde.
Nenn das Pferd doch endlich beim Namen. Nur weil der FTP-Server für den Angriff benutzt wurde, ist das Web-CMS damit noch nicht aus dem Verhör entlassen.
-
Nenn das Pferd doch endlich beim Namen.
Ok, wenns euch interessiert. Als CMS nutze ich Redaxo. Die betroffenen Seiten sind zu verschiedenen Zeiten entstanden, daher sind die Versionen zwischen 4.1.0 und 4.5.0. Es sind nur Standard-Addons installiert.
Falls es tatsächlich eine Sicherheitslücke im CMS gibt, müsste der Angreifer ja großräumig nach Redaxo-Installationen gesucht haben und somit mehr als nur meine drei erwischt haben. Im Redaxo-Forum ist jedoch nichts davon zu lesen. Selber betreibe ich ca. 40 Installationen. 4 davon laufen bei 1und1, 3 sind betroffen, der Rest nicht, obwohl besser in den Suchmaschinen gelistet...
Max
-
-
-
Gibt es die Möglichkeit, dass direkt über mögliche Sicherheitslücken in die FTP-Server bei 1und1 eingebrochen wurde und dort die FTP-Nutzer gekapert werden konnten (auch ohne Passwort)?
Die gibt es stets, das ist aber weniger wahrscheinlich.
das hatte ich bei einigen Kunden, die sich als Webdesigner bezeichnen, nun schon ein paar Mal. Zumindest waren jedes mal die Kisten mit einem Virus oder Trojaner verseucht. Manche scheinen immer noch nicht zu wissen, dass Windosen ohne Antiviren-Software ins Unglück führen. Das sind Leute, die FTP-Passwörter in den Editoren speichern. Und natürlich FTP zur Datenübertragung nutzen.
Ungesichertes WLAN möchte ich fast ausschließen. Sicherheitslücke bei 1und1... na ja. Könnte sein. Eher nicht. Sicherheitslücke im CMS? Nicht unwahrscheinlich. Vor allem, wenn ich lese, dass da anscheinend keine Updates gemacht wurden. Warum macht man sowas nicht?
"Martin Plakinger (vielen Dank an ihn!) hat uns auf ein ernstes Sicherheitsproblem im TinyMCE-AddOn hingewiesen, durch das es möglich war, die REDAXO-Konfigurationsdatei auszulesen. Wir empfehlen daher dringend, alle Websites schnellstmöglich upzudaten, die den TinyMCE als Editor nutzen. Es sind nur Websites betroffen, die den TinyMCE-Editor installiert haben."
http://www.redaxo.org/
(Redaxo 4.5.1, Sicherheitsfix, Relaunch, SEO42)Ist der tinyMCE installiert?
tron
-
Nachtrag:
Gibt es die Möglichkeit, dass direkt über mögliche Sicherheitslücken in die FTP-Server bei 1und1 eingebrochen wurde und dort die FTP-Nutzer gekapert werden konnten (auch ohne Passwort)?
Die gibt es stets, das ist aber weniger wahrscheinlich.
das hatte ich bei einigen Kunden, die sich als Webdesigner bezeichnen, nun schon ein paar Mal. Zumindest waren jedes mal die Kisten mit einem Virus oder Trojaner verseucht. Manche scheinen immer noch nicht zu wissen, dass Windosen ohne Antiviren-Software ins Unglück führen. Das sind Leute, die FTP-Passwörter in den Editoren speichern. Und natürlich FTP zur Datenübertragung nutzen.
Sorry, ich hatte das auf Kapern von FTP-Passwörtern via Virus vom heimischen Rechner bezogen. Eine Sicherheitslücke bei 1und1 schließe ich ebenfalls fast aus.
-
-
-
Hallo Max,
erzähl mal bitte bisschen was über dein System. Du arbeitest unter Windows?
Welchen Editor nutzt du, welchen FTP-Clienten etcgrüße
tron-
Hi tron,
ich arbeite mit Windows 7 Home Premium, FileZilla (Passwörter im Klartext), PS-Pad (Passwörter irgendwie codiert).
Mir sind die möglichen Gefahrenquellen meines Arbeitssystems durchaus bewusst. Wer mich per Bundestrojaner oder eingeschleustem Code ausspäht, könnte sicher einiges finden. Nur für den aktuellen Fall glaub ich nicht, dass dies so war. Denn einer der verwendeten FTP-Zugänge war mir nie bekannt. Habe aus oranisatorischen Gründen hier stets einen seperaten Zugang genutzt. Im FTP-Log wurde aber mit dem mir unbekannten Zugang Schindluder getrieben.
Vielleicht wurden ja irgendwo Mail-Server gehackt, auf denen E-Mails mit den Passworten drin gespeichert waren.
Auch die "Sniffer"-Version passt mir nicht so recht, da müsste der Angreifer bei der einen Seite schon vor mind. einem Jahr gesnifft haben. Da hab ich nämlich ewig nicht eingeloggt. Nur um "heute" koordiniert zuzuschlagen?
Max
-
Hallo,
ich arbeite mit Windows 7 Home Premium, FileZilla (Passwörter im Klartext), PS-Pad (Passwörter irgendwie codiert).
welche Antivirensoftware nutzt du? Das System ist 100% viren/trojanerfrei? Das Kapern von Passwörtern vom heimischen Rechnern kann durchaus einige Zeit zurückliegen. Das muss nicht gestern gewesen sein. Die Betreiber von Botnetzen arbeiten gerne in Intervallen.
Mir sind die möglichen Gefahrenquellen meines Arbeitssystems durchaus bewusst. Wer mich per Bundestrojaner oder eingeschleustem Code ausspäht, könnte sicher einiges finden. Nur für den aktuellen Fall glaub ich nicht, dass dies so war. Denn einer der verwendeten FTP-Zugänge war mir nie bekannt. Habe aus oranisatorischen Gründen hier stets einen seperaten Zugang genutzt. Im FTP-Log wurde aber mit dem mir unbekannten Zugang Schindluder getrieben.
Wann hast du die FTP-Zugangsdaten das letzte mal geändert? Wir das regelmäßig gemacht? Wenn nicht, dann sollte das getan werden.
Vielleicht wurden ja irgendwo Mail-Server gehackt, auf denen E-Mails mit den Passworten drin gespeichert waren.
unwahrscheinlich. Sind schlecht maschinenauslesbar. Da müsste ein Mensch ran.
Auch die "Sniffer"-Version passt mir nicht so recht, da müsste der Angreifer bei der einen Seite schon vor mind. einem Jahr gesnifft haben. Da hab ich nämlich ewig nicht eingeloggt. Nur um "heute" koordiniert zuzuschlagen?
Ne, da snifft keiner im WLAN. Sehr unwahrscheinlich. Nur um 3 Passwörter zu klauen und dann irgendeinen automatisierten Mist in den Code zu schleusen?
-
welche Antivirensoftware nutzt du? Das System ist 100% viren/trojanerfrei? Das Kapern von Passwörtern vom heimischen Rechnern kann durchaus einige Zeit zurückliegen. Das muss nicht gestern gewesen sein. Die Betreiber von Botnetzen arbeiten gerne in Intervallen.
Ok, dieser Hinweis gibt mir zu denken. Bei mir läuft Avira und ein vollständiger Scan damit sowie mit Spybot sagen mir, der Rechner ist sauber. Aber das war nicht immer so. Bin in den letzten Jahren zweimal verseucht gewesen, zuletzt vor ca. 1 Jahr, was immer mit einem kompletten Neuaufsetzen des Betriebssystem geendet hatte. Einige FTP-Passworte waren damals die selben wie beim jetzigen Angriff.
Wenn der Rechner damals vielleicht 2 Tage befallen war, kann es gut sein, dass die Passwortdateien abgegriffen wurden und ein Jahr lang in den Datenbanken dieser Botnetze schlummerten, bevor sie heuer zum Einsatz kamen. Wenn auf die Weise auch bei anderen Nutzern Passworte gesammelt wurden, erklärt sich die Nutzung mir unbekannter Passworte.
Das scheint mir jetzt die plausibelste Erklärung.
Tja aus Schaden wird man klüger...Max
-
Hi Max,
welche Antivirensoftware nutzt du? Das System ist 100% viren/trojanerfrei? Das Kapern von Passwörtern vom heimischen Rechnern kann durchaus einige Zeit zurückliegen. Das muss nicht gestern gewesen sein. Die Betreiber von Botnetzen arbeiten gerne in Intervallen.
Ok, dieser Hinweis gibt mir zu denken. Bei mir läuft Avira und ein vollständiger Scan damit sowie mit Spybot sagen mir, der Rechner ist sauber. Aber das war nicht immer so. Bin in den letzten Jahren zweimal verseucht gewesen, zuletzt vor ca. 1 Jahr, was immer mit einem kompletten Neuaufsetzen des Betriebssystem geendet hatte. Einige FTP-Passworte waren damals die selben wie beim jetzigen Angriff.
ja, das wird's gewesen sein.
-
-
-
-