Thema: Unentdeckte Hackereingriffe

Zitat von muckelfloh

Der EINZIGE Weg wäre dass jemand einen Virus auf meinem Compi installiert hat, so das FTP-Kennwort heraus bekam

das gabs hier in den den letzten 2 Monaten zuhauf. Und nicht nur hier.

Kein Joomla-Hack, sondern ein Trojaner auf deiner oder sonst einer Kiste die FTP-Zugang hat auf deine Website.

die kommen ja gerne so bei runden Jahreszahlen aus dem Loch, diese Viecher.

Zitat von muckelfloh

Ja, ist schon klar dass auch ich PFLICHTEN habe!

Da wir ein großes Forum, sind mit täglich tausenden Lesern, gelten die Hinweise auch allgemein.
Ich schrieb es deswegen so deutlich, weil wir z.B. im Chat beinahe täglich Leute haben die meinen
"Ich verwende Joomla 1.5.x<15 (etwa 1.5.9), habe aber noch keine Lust upzudaten..."

Natürlich erfreulich, das dir deine Pflichten bewusst sind.

Zitat von muckelfloh

...Ein Schaden entstand nicht, war lediglich nur die Weiterleitung.... obwohl ein findiger Anwalt auch das was hätte draus drehen können, da ich ja auf einmal zu sehr dubiosen Sites "weitergeleitet" habe.
Interessantes Thema!!!!

Rechtsberatung dürfen wir ja nicht geben, lediglich Sicherheitstipps.
Interessant ist das Thema allemal. Wird es auch immer bleiben.
Ein ewiger Wettstreit zwischen Server&Seiten-betreibern & Skriptkiddies bzw. kriminellen Kontrahenten.

Gruß, reservoir Dog

Zitat von Joe Sixpack

sondern ein Trojaner auf deiner oder sonst einer Kiste die FTP-Zugang hat auf deine Website.

Welche Programme verwendet man dann da am Besten um diese "Viecher" aufzuspüren - ich verwende Adaware?

Vorweg:
Grundsätzlich ist es die Pflicht des Seitenbetreibers seine Scripte und deren Sicherheit zu gewährleisten - nicht die des Serverbetreibers. Der darf ja genau genommen überhaupt nichts an den Daten seiner Kunden ändern.
Der Serverbetreiber muss dagegen sicherstellen, das die Serversoftware aktuell ist und das die Webs eine möglichst sichere Konfiguration haben (damit ein Angreifer keine Nachbarwebs attackieren kann).
Das sind also schon mal recht klare Verhältnisse bezüglich der Zuständigkeiten.

Ein Hoster wird dennoch versuchen seine Kunden zu unterstützen, weil er eben auch einfach bessere Mittel hat und weil er selbstverständlich auch kein Interesse an einem gehackten Kundenweb hat. Denn so ein Web kann massive Folgen zur Folge haben: von Überlastungen, IP-Blockaden bis hin zur Beschlagnahmung einer Maschine. All das beeinflusst natürlich auch die Geschäfte mit den anderen Kunden auf einer Maschine. Auch wenn eventuelle Schäden der User des gehackten Webs zu tragen hätte - der Ärger ist dann erst mal da.
Deswegen wird ein (guter) Hoster regelmäßig den Traffic/Mailaufkommen prüfen, Prozesse prüfen, Überlasten analysieren, Virenscans laufen lassen etc.pp. Weiterhin wird ein (guter) Hoster dann betroffene User bei Auffälligkeiten informieren und dann im Detail weiterhelfen - neben der sofortigen Sperre eines gehackten Webs (das ist wiederum seine Pflicht!).

Virenscans der Email sind Standard, aber Viren/Trojaner-Scans über die Webspaceinhalte ganz und gar nicht. Der Grund ist klar: Deratige Scans ziehen massiv Last und laufen stundenlang. Wir haben solche Scans seit einigen Monaten täglich laufen und konnten auf diese Weise viele unentdeckte Hacks finden (längst nicht mehr genutzt, aber eben noch vorhanden). Ebenso werden neue Hacks sehr schnell entdeckt - allerdings hat so ein Scan über individuelle Seiteninhalte, wo dann der Schadcode integriert ist längst nicht immer Erfolg. In Klartext eingebaute iframes kann man so nicht entdecken, per JS verschlüsselte Anweisungen dagegen schon eher. All die typischen Shellscripte und viele Phishingtools werden allerdings sehr sicher identifiziert.

Zitat von muckelfloh

aber das finde ich alles zusammen genommen doch ein wenig weit daher geholt.

Nö nö ich hatte eine OsC Site die infiziert war. Alle .php, .js und .html Seiten mit Schadcode. War so am 6. Januar.

Eine Dritt-Firma (im IT-Bereich tätig, kleiner Auftrag von mir) hatte FTP Zugang auf die Site und genau denselben Schadcode auf ihrer eigenen Firmensite....
Dort stand wohl ein verseuchter PC.

tja.... aber ok, Backups waren hier und auch beim Hoster. Schnell wieder eingespielt und PW geändert.

Mal etwas OT: Was ist denn eigentlich auf der "beliebten" Seite vom milw0rm los? Seit 21.09.09 keine Hacks von Joomla-Erweiterungen mehr verzeichnet. Listen die nichts mehr auf oder gab es tatsächlich keine?

Zitat von walter6363

Welche Programme verwendet man dann da am Besten um diese "Viecher" aufzuspüren - ich verwende Adaware?

Nun, da kann ich leider keine adäquate Antwort geben, da ich geschäftlich nur mit Mac OS X arbeite. Und da sind keine Viren oder Trojaner bekannt (Ok, 1 Tojaner gibt es, aber man muss schon zeimlich doof sein und das Teil noch mit Admin-PW auf der Kiste installieren.)