Thema: mehrere Seiten gehackt... Wie?

Hallo Joomlaianer,

am Sonntag wurden zwei meiner Joomla-Seiten gehackt. Es stand überall in den Dateien ein merkwürdiger base64 String drin (soll ich den codierten und decodierten String hier posten, oder ist das ungünstig?). Beim Aufrufen der Seite erschien nur ein weißer Bildschirm.
Die Log-Files haben für dieses Datum keinen Eintrag, dort habe ich also nichts entdeckt. Ich vermutete, dass es damit zu tun hat, dass ich bei diesen Seiten noch ein Joomla 1.5.7 laufen hatte. Das habe ich jetzt geändert - alles gelöscht und bei der einen Seite das Backup eingespielt und Joomla auf die 14 geupdatet und natürlich alle möglichen Passwörter geändert.
(Die andere Seite sollte sowieso umgestaltet werden, dort ist Joomla deinstalliert und gerade ne einfache HTML One Page drin. Ich glaube auch nicht, dass es an unsicheren Erweiterungen lag, denn ich hatte kaum welche installiert und die, die bei der einen Seite installiert waren, waren auf der anderen gehackten Seite nicht installiert und umgekehrt. Also da gibts keine Verbindung.)

So jetzt folgte allerdings ne ganz seltsame Entwicklung: Jetzt wurde auch noch eine andere Seite, die mir gehört, gehackt (ebenfalls nicht mehr aufrufbar) - die aber auf nem anderen Server (1und1 !!! hack sowas mal...) liegt UND NICHT von mir mit Joomla programmiert wurde, sondern ein ganz anderes CMS drauf hat!

Da hab ich mir gedacht - vielleicht liegt das am FileZilla: dass (weiß nicht, ob sowas geht) irgendwie was auf meinen Arbeitrechner geschleust wurde und das sich dann über den FileZilla (in dem ja alle Daten gespeichert sind) auf die Seiten ausbreitet und die dann hackt. (Der FileZilla ist aber auf der neuesten Version, ich hab ihn aber gleich mal sicherheitshalber deinstalliert.).
Naja und bisher ist halt auch nie was passiert - ich habe die Seiten ja schon ein halbes bis ein ganzes Jahr laufen und bisher wurde noch nicht mal ansatzweise irgendwas gehackt oder ähnliches. Jetzt kommt aber die Sache hinzu:

Ich hatte jetzt am Freitag und Samstag meinen Arbeitsrechner (auf dem der FileZilla ist) mit beim Studium, zu recherchezwecken - dort hab ich mich natürlich in das Internet von der Akademie eingeloggt (von dem praktisch jeder das Passwort kennt) und prompt wurden am Sonntag die ersten Seiten gehackt! Kein Plan, ob das zusammenhängt und ob das überhaupt funktioniert (nur der vollständigkeit halber schreib ich das mal mit dazu), weil komisch ist das - zwei unterschiedliche Server und vor allem zwei unterschiedliche CMS - das ist schon auffällig...

Hat irgendjemand eine Idee, wie das möglich sein kann? Kann das über den FileZilla gehen, oder ist das völlig ausgeschlossen? Es ist auch jedesmal der gleiche base64 Code in den Dateien (also auf allen 3 gehackten Seiten gleicher Code) - ist das ein Angriff auf mich persönlich? Kann man sonst noch irgendwie rausfinden, wer oder wie das gehackt wurde? Vielleicht über Google Analytics?

Danke, fürs durchlesen - vielleicht hat ja jemand eine Idee, oder ein ähnliches Problem...

stimme da Orpheus2510 zu

Tasächlich jetzt?

Puh... ich dacht mir schon, dass die sogenannten "Virenprogramme" (die ich zahlreich über meinen Rechner laufen lasse) den Rechner nicht schützen können. Spybot und Symantec Antivirus haben beide nix gefunden, aber anscheinend ist der Rechner ja tatsächlich total verseucht.

Also liegts wirklich an meinem Rechner und nicht an irgendwelchen CMS, Hostern, Passwörtern etc.?

Wenn in den Logfiles wirklich nichts zu finden ist, dann ist die Wahrscheinlich gross, daß die ganze Angelegenheit via FTP stattgefunden hat ( FTP logs schon gechecked? Findet man bei 1&1 auch im Ordner mit den logs ).
Sollte das der Fall sein, hat irgendwer Dein Passwort geknackt weil es zu soft ist, oder weil er irgendeinen Keylogger auf Deinem Rechner installiert hat und alles schön brav mitlesen kann.
Also einfach erstmal sämtliche Logs ( access, ftp und vielleicht mail ) prüfen und dann weiterschauen. das könnte die fehlerursache eingrenzen.

Gruß

Chris

angenommen das Passwort wurde geknackt,
- könnte das dann wirklich ein Angriff auf mich persönlich sein, denn wer macht sich die Mühe meine PWs, die aus Buchstaben, Zahlen und Sonderzeichen bestehen, zu knacken?
- reicht es, das Passwort zu ändern? Oder was müsste ich planmäßig in den Logfiles finden?