schädliche Datei auf Ihren Webspace geladen

Thema wurde von IPman, 1. November 2013 erstellt.

  1. IPman
    IPman Erfahrener Benutzer
    Registriert seit:
    6. Oktober 2011
    Beiträge:
    386
    Danke erhalten:
    21
    Danke vergeben:
    33
    Hallo zusammen,

    hat jemand schon mal so eine Mail erhalten?

    .....Vor wenigen Minuten meldete unser Anti-Viren-Scanner, dass eine schädliche Datei auf Ihren 1&1 Webspace geladen wurde.
    Name der Datei: ~/images/banner/c92.php
    Um Sie vor gefährlichen Hacker-Angriffen zu schützen, prüft der 1&1 Anti-Viren-Scanner jede Datei, die auf Ihren Webspace geladen oder verändert wird. Zeigt eine Datei deutliche Muster eines Angriffs, wird sie automatisch deaktiviert.....

    Die Mail ist von 17:04 Uhr, hab gleich mal per FTP geschaut, die Datei ist dort seit 17:03 Uhr.
    Kann das mit der monatlichen Werbung im Adminbereich zusammenhängen oder schafft sich da einer illegal?
    Mein letztes Update war letzte Woche, da war die Datei noch nicht dort.

    Grüße
     
  2. Dennis (MotivMonster.de)
    Dennis (MotivMonster.de) G-WARD 2013/14/15/16
    Registriert seit:
    22. September 2011
    Beiträge:
    31.208
    Danke erhalten:
    6.212
    Danke vergeben:
    1.108
    Beruf:
    Mann für alles :)
    Ort:
    Weilburg
    die Werbung im admin kommt nicht von deinem server die ist extern.

    Die Uhrzeit der Datei wird sich vom Virenscanner sein, wenn er die datei deaktiiert oder geereinigt hat.
    Interesanter wäre zu wissen was das für ne datei ist und wie sie dahin kam
     
  3. IPman
    IPman Erfahrener Benutzer
    Registriert seit:
    6. Oktober 2011
    Beiträge:
    386
    Danke erhalten:
    21
    Danke vergeben:
    33
    ...nennt sich c92.php , ist 153218 Kb groß und hat Atribut 200.

    Letzte Woche hatte ich eine Sicherung gemacht, da war sie noch nicht da, sonst wäre die ja im Backup.
    Die Verzeichnisse haben 777, als nichts auffälliges drumherum.

    Hab das Atribut auf 600 geändert und kopiert, da schlug mein Antivir gleich an: "PHP/C99Shell.B"
    Hab erst mal ´ne txt Datei daraus gemacht.

    Grüße
     
  4. Dennis (MotivMonster.de)
    Dennis (MotivMonster.de) G-WARD 2013/14/15/16
    Registriert seit:
    22. September 2011
    Beiträge:
    31.208
    Danke erhalten:
    6.212
    Danke vergeben:
    1.108
    Beruf:
    Mann für alles :)
    Ort:
    Weilburg
    ich würd nun bei uns in die FTP Logs schuane wer da wann zugang hatte und wer die datei hochgeladen hat.
     
  5. IPman
    IPman Erfahrener Benutzer
    Registriert seit:
    6. Oktober 2011
    Beiträge:
    386
    Danke erhalten:
    21
    Danke vergeben:
    33
    Wo finde ich diese FTP logs? Ich benutze TotalCommander, aber auf meinem Rechner kommt keiner ran.

    Zugang hätte da noch Gambio oder Magnalister....

    Grüße
     
  6. Dennis (MotivMonster.de)
    Dennis (MotivMonster.de) G-WARD 2013/14/15/16
    Registriert seit:
    22. September 2011
    Beiträge:
    31.208
    Danke erhalten:
    6.212
    Danke vergeben:
    1.108
    Beruf:
    Mann für alles :)
    Ort:
    Weilburg
    ftp logs sind auf deinem server, wenn nur webspace hast wirst da nicht dran kommen.
    zugriff hat jeder der dein ftp pw rausbekommt oder sonst ne sicherheitslücke findet
     
  7. Moritz (Gambio)
    Moritz (Gambio) Administrator
    Registriert seit:
    26. April 2011
    Beiträge:
    5.786
    Danke erhalten:
    2.693
    Danke vergeben:
    903
    Hallo,

    das sieht mir sehr nach einem Hackerangriff aus. In den meisten Fällen ist der Hacker im Besitz der FTP-Zugangsdaten. Daher sollte als allererstes das FTP-Passwort geändert werden. Die PCs, mit denen sich jemals per FTP mit dem Shopserver verbunden wurden, sollten einem Virentest unterzogen werden. Üblicherweise fängt ein Trojaner die Zugangsdaten ab und sendet sie an den Hacker.
    Die Datei c92.php sollte gelöscht werden. Da Shopdateien verseucht sein könnten, sollte eine Datensicherung eingespielt werden. Hier kann der Provider in der Regel helfen. Wenn eine Datensicherung eingespielt wird und diese auch die Datenbank betrifft, gehen natürlich alle Änderungen (Bestellungen usw.), die jünger als die Datensicherung sind, verloren.
     
  8. Steffen (indiv-style.de)
    Steffen (indiv-style.de) G-WARD 2013/14/15/16
    Registriert seit:
    30. Juni 2011
    Beiträge:
    5.143
    Danke erhalten:
    1.466
    Danke vergeben:
    452
    Beruf:
    Systemadmin, Webentwickler bei Indiv-Style
    Ort:
    PhpStorm
    Ich sehe darin ein grundsätzliches Problem! FTP ist mit Abstand eines der unsichersten Protokolle, da die Passwörter unverschlüsselt übertragen werden. Jeder Hoster bietet Webpakete an wo ein SSH mit dabei ist! Das bischen was es mehr kostet sollte doch jeden Wert sein! Im übrigen vermisse ich selbst beim Installer des GX2 die Möglichkeit die Rechte per SSH zu setzen! Da ist auch nur FTP möglich. Auch wenns mich nervt, mach ich das manuell per SSH. Vieleicht könnte man das mal ins Auge fassen und umsetzen!
     
  9. Avenger
    Avenger G-WARD 2012/13/14/15
    Registriert seit:
    26. April 2011
    Beiträge:
    4.771
    Danke erhalten:
    1.478
    Danke vergeben:
    89
    Das löst aber das Problem nicht, da die Angriffe ja meist auf den lokalen Rechner erfolgen, und die Passworte dort ausgespäht werden....
     
  10. Avenger
    Avenger G-WARD 2012/13/14/15
    Registriert seit:
    26. April 2011
    Beiträge:
    4.771
    Danke erhalten:
    1.478
    Danke vergeben:
    89
    Kannst Du die "c92.php" mal als (gezippten) Anhang posten?

    Mal gucken, was das ist.:cool:

    In welchem Verzeichnis liegt die Datei?
     
  11. Dennis (MotivMonster.de)
    Dennis (MotivMonster.de) G-WARD 2013/14/15/16
    Registriert seit:
    22. September 2011
    Beiträge:
    31.208
    Danke erhalten:
    6.212
    Danke vergeben:
    1.108
    Beruf:
    Mann für alles :)
    Ort:
    Weilburg
    Bitte per mail wenn schon, sonst verbreiten wir hier noch mailware !
     
  12. Steffen (indiv-style.de)
    Steffen (indiv-style.de) G-WARD 2013/14/15/16
    Registriert seit:
    30. Juni 2011
    Beiträge:
    5.143
    Danke erhalten:
    1.466
    Danke vergeben:
    452
    Beruf:
    Systemadmin, Webentwickler bei Indiv-Style
    Ort:
    PhpStorm
    Das stimmt aber es verringert es.
     
  13. Dennis (MotivMonster.de)
    Dennis (MotivMonster.de) G-WARD 2013/14/15/16
    Registriert seit:
    22. September 2011
    Beiträge:
    31.208
    Danke erhalten:
    6.212
    Danke vergeben:
    1.108
    Beruf:
    Mann für alles :)
    Ort:
    Weilburg
    solange das ssh PW dann auch in Filzilla gespeichert wird macht das doch nicht wirklich nen unterschied.
    Sinnvoller wäre es vernünftige PW und aktuelle Virenscanner zu verwenden. (wobei ich nicht mal weiß wie man nen virus bekommt, in 10 jahren daueronline keinen gehabt und ich mach und lad echt viel zeugs aber der ha noch nie angeschlagen)
     
  14. Danny
    Danny Erfahrener Benutzer
    Registriert seit:
    17. Juni 2011
    Beiträge:
    1.398
    Danke erhalten:
    179
    Danke vergeben:
    213
    genau da solltest du dir ggf. mal Gedanken machen:eek:
     
  15. Dennis (MotivMonster.de)
    Dennis (MotivMonster.de) G-WARD 2013/14/15/16
    Registriert seit:
    22. September 2011
    Beiträge:
    31.208
    Danke erhalten:
    6.212
    Danke vergeben:
    1.108
    Beruf:
    Mann für alles :)
    Ort:
    Weilburg
    G-Data mit double Scan seit Jahren Testsieger in diversen Zeitungen und Tests.
    (Link nur für registrierte Nutzer sichtbar.)
    OK ausschlagen tut der öfters, aber meist wenn Leute mit ihren verseuchten Handys und Sticks kommen um was ausdrucken zu lassen. :)
    Aber noch nie weil ich was aus dem I-Net gezogen habe.
     
  16. IPman
    IPman Erfahrener Benutzer
    Registriert seit:
    6. Oktober 2011
    Beiträge:
    386
    Danke erhalten:
    21
    Danke vergeben:
    33
    #16 IPman, 2. November 2013
    Zuletzt von einem Moderator bearbeitet: 2. November 2013
    Hallo,

    hab nur die Endung in .txt geändert.
    Die scheint aber von Avira bereinigt worden zu sein, denn sonst hätte der mir immer wieder den Virus gemeldet.
    Die Datei lag im Verzeichnis ../images/banner/c92.php

    1&1 scheint da sehr flink zu sein, habe im Shop nichts weiter finden können, Backup und neues FTP PW hab ich noch gestern gemacht.
    Ich hoffe mal, das da nichts mehr dazu kommt.

    Von meinem Rechner aus glaube ich nicht, das da einer was versteckt hat, Avira und Spybot laufen bei mir jede Woche drüber und haben in den letzten Monaten nichts gefunden.

    Grüße
     
  17. Moritz (Gambio)
    Moritz (Gambio) Administrator
    Registriert seit:
    26. April 2011
    Beiträge:
    5.786
    Danke erhalten:
    2.693
    Danke vergeben:
    903
    Hallo,

    ich habe den Anhang gelöscht. Es ist ein No-Go im Forum Dateien anzuhängen, die als Virus gemeldet wurden. Ganz egal, ob ein lokales Virenprogramm angeschlagen hat und man die Datei entschärft hat. Das müsst ihr auf privatem Wege machen.
     
  18. Danny
    Danny Erfahrener Benutzer
    Registriert seit:
    17. Juni 2011
    Beiträge:
    1.398
    Danke erhalten:
    179
    Danke vergeben:
    213
    Habe sie mir vorher hier mal gezogen. Wir analysieren die File........
     
  19. IPman
    IPman Erfahrener Benutzer
    Registriert seit:
    6. Oktober 2011
    Beiträge:
    386
    Danke erhalten:
    21
    Danke vergeben:
    33
    Sorry, war wohl etwas unüberlegt.

    Wer sie noch haben möchte bitte Mailadresse per PN geben.

    Grüße
     
  20. Danny
    Danny Erfahrener Benutzer
    Registriert seit:
    17. Juni 2011
    Beiträge:
    1.398
    Danke erhalten:
    179
    Danke vergeben:
    213
    Ok,

    also bei diesem Script handelt es sich um ein Tool oder auch Backdoor (je nach dem, wie man es sehen will), welches dem Anwender erlaubt eine shell zu öffnen und sich nach Lust und Laune auf dem Server auszutoben:cool: man ist dann in der Lage alles mögliche zu machen, E-Mails versenden, Root zu werden etc. Also von daher hoch gefährlich und gut, dass der Provider sofort reagiert hat.

    Fakt ist jedoch: Einer deiner Rechner ist mit einem Trojaner infiziert, welcher diese simple Vorgehensweise erst ermöglicht hat. Aus täglicher Erfahrung mit diversen infizierten Kundenrechnern kann ich dir nur ganz dringend nahe legen, das AV Programm zu wechseln, denn damit bist du bei weitem nicht geschützt!