FTP gehackt - wer ist schuld?

[php-coder]

Wenn du nachweislich kein Perl oder PHP Skript auf den Server betrieben hast, liegt die Vermutung nahe das gegebenenfalls das Passwort zu einfach ist. Es empfiehlt sich das Passwort regelmäßig zu ändern. Zusätzlich sollte man Passwörter immer nur einmal vergeben. Es kann auch sein das bei euren E-Mails untereinander eine E-Mail abgefangen wurde. Wenn ihr danach das Passwort nicht geändert habt, ist es möglich mit diesem Passwort auf den FTP Server sich einzuloggen.

Es ist nun die Frage wer das Script zum Versand von Spam E-Mails auf den Server geladen hat, dies könnte man über die Logfiles herausfinden. Ich empfehle ganz einfach mal 1und1 zu kontaktieren und zu fragen wer diese Dateien auf den Server übertragen hat. Normalerweise müssten die Logfiles haben, wo eine IP Adresse gespeichert wurde. Wenn dies eine deutsche IP Adresse ist und man sicherstellen kann, dass man dies nicht selber war würde ich entsprechend eine Strafanzeige stellen. Vermutlich wird dies aber sicherlich eine ausländische IP Adresse sein, da kannst du zwar eine Strafanzeige stellen wirst aber im Regelfall keinen Erfolg haben. Bei ausländischen IP Adressen, wird das Strafverfahren in den meisten Fällen eingestellt. Wenn du ein PHP Skript auf den Server hast, empfehle ich dies gegebenenfalls upzudaten.

Viele nutzen auf ihren Webseiten PHP oder Perl Skripte um zum Beispiel ein Gästebuch oder Kontaktformular auf die Homepage einzubinden. Diese kostenlose Skripte, sind in den meisten Fällen die Ursache für sowas. Da diese Skripte von den Autoren regelmäßig ein Update unterzogen werden. Ein Hacker geht folgendermaßen vor, er sucht sich ein PHP oder Perl Script was eine gravierende Sicherheitslücke hat und sucht diese Skripte bei Google. Sobald er ein Script gefunden hat versucht er mit der Sicherheitslücke das Script anzugreifen. Im Regelfall benötigt man ca. 5-10 min um eine Webseite mit irgend ein Script was eine Sicherheitslücke hat zu finden. Danach kann der Spammer seine Spam E-Mails versenden.

Ich hoffe ich konnte dir ein wenig helfen und ein wenig Klarheit in diesem Beitrag verschaffen.

Grüße Nico

 

[mudbox]

Also FTP-Bruteforce würde man in den FTP-Logs bei dem Hoster sehen. Dort sind dann mehrere Login-Versuche im Log-File enthalten.

Wenn dein Kunde dir Zugang gibt, dann kannst du das schonmal kontrollieren.

Allerdings: Auch ein Mac schützt nicht vor Trojanern oder Viren. Bestes Beispiel ist ein FireFox-Plugin (das auch auf dem Mac funktioniert), welches Passwörter und Zugangsdaten ausliest.
Über folgende Google-Suche seht Ihr dann, wie die abgelegt werden: http://www.google.de/search?q=site%3Apastie.org+%22login.1und1%22

Das Plugin könnte sogar eine Passwortänderung über das Control-Center von 1&1 abgefangen haben. Das würde auch erklären, warum das neue wieder so schnell ausgelesen wurde.

Darüber hinaus muss es ja nicht unbedingt der Rechner vom Kunden sein, der betroffen ist. Evtl. hat er die Zugangsdaten mal auf einem anderem System genutzt. Zum Beispiel ein Internet-Cafe im Ausland. Oder er hat die Zugangsdaten mal per Mail an die Falsche Person versendet.

Hast du mal einfach nach dem Benutzernamen des Kunden gegoogelt? Evtl. findest du da ja bereits etwas.

Eine Sicherheitslücke vom FTP-Server selbst halte ich bei einem Hoster dieser größe eher für unwahrscheinlich.

 

[Metzlor]

Gestern leitete ein Webdesign-Kunde von mir eine handvoll Mails weiter, in dem er von 1&1 darauf hingewiesen wurde, daß sein Webspace gehackt wurde und über zwei dort abgelegte Dateien haufenweise Spammails verschickt wurden. Angeblich sei der Zugriff über FTP erfolgt und es wurde von 1&1 gemutmaßt, daß ein Virus auf einer Maschine mit Zugang zum FTP diesen gehackt habe. So weit, so schlecht.

Nun sitzt mein Kunde aber an einem Mac und mein PC ist absolut sauber, außer uns beiden hat keiner die Zugangsdaten. Außerdem habe ich mich auf dem entsprechenden FTP seit über 2 Jahren nicht mehr eingeloggt, es gab auch keine weiteren Vorfälle obwohl ich rund zwei Dutzend Kundenwebsites auf verschiedenen FTPs betreue. Die Zugangsdaten zu den Servern liegen außerdem nirgendwo auf meinem System in Textform vor, allerdings sind sie in WS_FTP gespeichert.

Ähm, nur weil er einen Mac hat, heißt das nicht, das sein System sauber ist! Es gibt nur mehr Viren für Windows wegen des größeren Marktanteils, sonst wären Mac`s genauso betroffen.