unsere Seite wurde gehackt

[Andy]

Hallo,
heute morgen ist dem Betreiber unserer Seite bei Wartungsabeiten aufgefallen,
dass unsere Seite gehackt wurde.
Über unseren Account wurde eine stark erhöhte Anzahl von E-Mails mittels eines PHP-Scripts versendet.
Jörg wurde zeitnah informiert und ist dabei diese Fenster zu schließen.
Von Seiten des Surferbetreibers wurde nötiges veranlaßt !
Glück im Unglück, keiner hat Dateien oder ähnliches beschädigt
es wurden aber Spammmails oder ähnlicher Mist über unsere Seiten versendet.

Soweit ! Grüße Andy

[Jörg Technik]

Die gute Nachricht zuerst: Gehackt wurde zum Glück hier nichts. :-)
Aber seit Stunden bin ich dabei, Spammer aus der ganzen Welt auszufiltern und zu löschen, gleichzeitig habe ich die Anmelde-Prozedur drastisch verschärft und auch die Rechte für Neu-User stark eingeschränkt. So können sie z.B. keine PNs/Emails mehr versenden.
Aber es geht weiter... das ist ne Menge Arbeit... wirklich ne Menge.

[Andy]

Klasse Jörg,
gute Nachrichten, der Mann vom Support meinte das wäre mit einem
Hackerangriff gleichzusetzen.
Von dieser Stelle erst einmal vielen Dank lieber Jörg !

Grüße Andy

PS. und ich habe mich schon gefreut das wir soo eine große Traffik haben !
wenn 3/4 Spammer waren .... na klasse !

[Jörg Technik]

Wahrscheinlch sogar mehr pro Tag als 2/3. Wenn ich alleine sehe, was jetzt gerade online ist...
Herzlichen Glückwunsch: Es sind knappe 29.000 Spammer seit ca. 3 Monaten im System!!! Und man kann sie nur immer in maximal 1.000er Schritten löschen, d.h. ich sitze da noch Stunden dran....

Das ist echt ne Arbeit für Doofe... also genau richtig für mich! :D

[Jörg Technik]

Hallo,
heute morgen ist dem Betreiber unserer Seite bei Wartungsabeiten aufgefallen,
dass unsere Seite gehackt wurde.


Übrigens nicht "dem Betreiber der Seite", der bist Du! ;) Sondern dem Hoster des Web-Paketes.

Puh, das ist echt irre bei 29.000, man kann nur in ganz kleinen Steps ausfiltern und erwischt manchmal deutlich weniger als 1.000 pro Durchgang. Also das dauert echt.

[Jörg Technik]

So, Gefahr erkannt - Gefahr gebannt. :D

Folgende Maßnahmen habe ich heute durchgeführt:


Knapp 29.000 Spam-Accounts gelöscht
Email-Funktionen geändert
Bestimmte Mail-Provider gesperrt
Sicherheitsmaßnahmen drastisch verschärft
Registrierung durch Bots stark erschwert
Rechte für neue User eingeschränkt - plus autom. Beförderung nach 15 Beiträgen und 30 Tagen Mitgliedschaft


Damit sollte das Problem erledigt sein. :)
Diese Kadetten braucht man nicht allzu oft, sie bescheren nix als unnötigen Ärger.

[Andy]

Und jetzt ne frage für unwissende: Wer legt 29.000 User an und zu welchem Zweck ?
Ich meine und dafür spreche ich bestimmt für so einige, sich zu registrieren dauert
so seine 3-4 min. dann diese Hieroglyphen die man oft nicht beim ersten Durchgang entziffern kann.
Ich danke per Hand ist so etwas unmöglich, nur wer programmiert seinen Rechner um
sowas zu machen auch jedes mal mit einem anderen Namen und das 29.000 x !
Würden die Leute ihre Energie lieber in sinnvolle Sachen stecken und nicht in so einen Quatsch

Grüße Andy

[Jörg Technik]

Ganz einfach: Das sind Bots, die entsprechende Software nutzen und Foren nach Möglichkeiten durchsuchen. In einigen Fällen (China z.B.) werden auch Menschen an Rechner gesetzt, um Sicherheitsabfragen wie CAPTCHA und Frage/Antwort zu knacken. Sie bekommen dann pro Vorgang beispielsweise 2 Cent.

Die Software reg. das automatisiert in kurzer Zeit, das ist kein Problem. Die Spammer kamen aus Polen, Russland, USA und Litauen. Teils auch aus China. All das ist (leider) heutzutage üblich und fast alle Foren haben damit zu kämpfen. Je bekannter die Software, umso mehr.

Warum sie das machen? Auch das ist ganz einfach: SPAM! Sie verdienen Geld mit den Links, Verkäufen, Clicks usw.
Irgendein Trottel findet sich immer, der da drauf klickt! Und wenn sie von 250.000 Postings 100 (zahlende) Leute erwischen, dann hat sich das schon gelohnt. Es werden täglich mehr Spammer weltweit.

[Andy]

Hallo heute Morgen der Supergau,
gestern Abend noch bis 12 Uhr Rechnungen geschrieben ein paar Briefe gemailt
dann ins Bett gegangen ohne den Rechner runterzufahren !
Dann heute morgen kurz nach 6 Uhr ich beweg die Maus Rechner geht an, was ist das
ein komisches Desktop ... Dann auf Outlook auf Empfangen ... fordert der Rechner sein Kennwort an.
Na ja nichts außergewöhnliches kommt halt alle paar Monate vor .... nur das Kennwort will er nicht.
Mist .... dann ist Internet tot... ok dann die Telecom angerufen, mittlerweile ist es 7 Uhr, nach 30 min Warteschlange.
Eine patzige Antwort Störung Bundesweit .... danke typisch ... nochmal wieder 20 min, dann ein sehr freundlicher
Sachbearbeiter der mit eine Nummer gibt von den Technikern, die aber erst ab 8 Uhr Dienst haben.
Kurz durchgeschnauft Kaffee gemacht und dann dort angerufen.... Das darauf folgende Gespräch hat von
kurz nach 8 bis 10:30 am stück gedauert... der Kollege hat mir per Telefon geraten den Router platt zu machen
weil es die von der Telecom gesendeten Nummernfolgen nicht angenommen hat, also neu Konfiguriert
nach ca. 20 min war dann W-Lan wieder möglich, dann hat er mir ein Programm gesendet mit dem er
über seinen Rechner auf meinen Rechner gekommen ist. Dann wollten wir schauen d.h. ich schauen und er
machen was passiert ist. Alle meine Einstellungen die ich noch vor wenigen Monaten als die SSL Verschlüsselung
erforderlich war waren zurückgesetzt, alle Ein und Ausgeheden Mails wurden auf einen Server zwischengeleitet
der irgendwo in der Walachei sitzt. Wie kann es sein das jemand auf den Rechner kommt und Einstellungen
ändert andere Passwörter sowohl im W-Lan als auch in den Mails setzt. Der ganze Spaß mit Laptop von Mutti
und 4 Iphones hat dann bis 13 Uhr gedauert .... jetzt geht zum Glück alles alles wieder.

Mal schauen ob jetzt irgendwer Sachen aus dem www. bekommt und ich die Rechnung.

Grüße Andy

[Jörg Technik]

Herzlichen Glückwunsch und herzlich Willkommen "im Reich der Viren"! :D
Eine bundesweite Störung liegt aber nicht vor, denn ich habe seit gestern Abend, dem starken Unwetter, genau dasselbe PRoblem (also Internet/Telefon/DSL).

Habe das gerade beim 2. Gespräch mit meinem Anbieter angesprochen und auch dort ist nichts bekannt, abgesehen davon dass hier sonst alle Leute telefonieren können. Also von Bundesweit kann absolut keine Rede sein.
Aber das entspricht wieder mal den typischen Aussagen der Teledumm-Leute....
Ich habe ja eine VST direkt hier (Du hast sie ja schon gesehen, Andy) und kann dadurch auch mit den Technikern direkt sprechen, die wissen aber nichts davon und machen ganz normal ihre Arbeiten hier.

Meine Störung kann an einem Vodrafone Schaltschrank liegen, ebenso aber auch an einem Telekom Verteiler. Das ist derzeit nicht bekannt. Jedenfalls war meine Vermutung mit Blitzeinschlag wohl so oder so richtig.
Derzeit arbeite ich mit meinem alten Surf-Stick, aber die kostenlose Nutzung läuft um Punkt 24.00 Uhr ab und kostet ab da Geld.
Schöner Mist immer.... und die Unwetter nehmen jährlich jetzt zu, tolle Aussichten...

[Andy]

.... der Telecom Mann sagte noch ich soll unbedingt Anzeige erstatten,
wan wen ins Inland ins Ausland und für eine Statistik.
Und so richtig clever wars ja auch nicht sonst wäre es im Hintergrund
gelaufen und hätte Daten abgefischt. Nur welche auf dem Rechner
findest man höchtstens ein paar tausend Bilder von Autos, na dann viel Spaß

Grüße Andy

[Andy]

Hallo,
leider gibt es immer wieder Spaßvögel die meinen sie
könnten unser Forum mit Seitenweise Müll vollstopfen.
Heue Mittag mußte ich 20. min löschen irgendwas mit Viagra Cialis
und solchen Spielarten. Und ein Kollege meinte wenn ich ihn lösche
meldet er sich einfach neu an ! Zum Glück kann man auch User über
ihre IP sperren .... so mußte ich heute über 60 Spamuser sperren.
Von 12 Uhr bis jetzt sind wir von unserem Betreiber Offline gesetzt worden.
Erst nachdem alle Skripte gelöscht waren und die Spammer ob
jetzt Menschen oder Maschinen entfernt wurden wurden wir wieder
im www. freigeschaltet (~15:30 uhr) ! Jörg und ich beobachten jetzt natürlich alle Neuanmeldungen
die jetzt leider erst mal wenige Tage nach ihrer Anmeldung keine
Berechtigung haben PN zu schreiben und auf Beiträge zu antworten.
Bei den Neuanmeldungen verwenden wir jetzt Fragen die nur mit umlauten
die es nur auf einer Deutschen Tastatur gibt beantwortet werden können.
Es ist absolut traurig das man sich so abschirmen muß und Neuanmeldungen
so schwierig gestalten muß, dass sich solche Vorfälle nicht wiederholen !

Grüße Andy

[Andy]

Hallo ich weiß nicht was los ist aber ich muß z.Z. stündlich
an die 10 Neuanmalungen löschen, fast alle aus USA !

[Jörg Technik]

Gestern Nacht hatte ich die Faxen nun dicke, es wurden immer mehr und trotz enger Riegel waren es stündlich ca. 50 Versuche! Ich habe nun für einige Zeit die Registrierung für das Forum komplett abgeschaltet, im Moment kommt kein "Neuling" mehr rein.

Das Problem ist: Es sind menschliche Spammer, keine Bot's mehr! Und die sitzen überall in den "üblichen verdächtigen" Ländern: Russland, China, Ukraine, Bulgarien und teils sogar in Frankreich. Sind aber allesamt der deutschen Sprache ausreichend mächtig, um Fragen zu beantworten, den Reg-Prozess zu durchlaufen und auch (zunächst harmlose) deutsche Beiträge in Foren zu verfassen.
Nach einer gewissen "Sicherheit" fangen sie dann das Spammen mit versteckten Links im Beitrag an usw...
Oder belästigen sogar User mit PNs etc.

Dem habe ich jetzt erst mal einen "harten" Riegel vorgeschoben, zumal sich sooo viele "echte" User ja auch nicht registrieren. Das kann man ggf. später dann anders lösen, aber zunächst kommt hier niemand mehr hinein. Heute früh hätten wir vermutlich 800+ "neue" User gehabt, die zu 100% nur aus Spammern bestanden.

[Alfanta]

sehr ärgerlich.

wolle rose kaufen ;)

Diesen Umfang hätte ich nicht vermutet, aber Andy hat vor einiger Zeit ja schon ab und zu geschrieben wie viele Besuche die Seite hat. Habe mich schon gewundert. Zudem tauchen ja ab und zu auch "merkwürdige" Beiträge auf.

[Jörg Technik]

Jepp, diesen Zahn hatte ich ihm damals schon sofort gezogen. :D So viele "echte" Besucher hat das Forum nicht, wie diverse Bots und Crawler glauben machen wollen.
Aber bekanntlich sind Statistiken auch nie sonderlich aussagekräftig...

Die schlimmsten der "besagten Beiträge" löschen wir immer schon sofort, auch gestern waren einige dabei. ;)

Aber manche sind so witzig (wie z.B. das Foto der Perle aus angeblich USA, dessen Poster in Wahrheit in der Ukraine steckt), dass man sie einfach mal stehen lassen muss... zur allgemeinen Erheiterung. :)
Sieht doch ganz nett aus, die Kleine. Nur auf irgendwelche Links klicken sollte natürlich niemand, aber so viel "Intelligenz" und Eigenverantwortung setzen wir auch bei den Usern dieses Forums voraus. :)

[Jörg Technik]

Hehe... meine div. Maßnahmen zeigen Wirkung, es registriert sich inzwischen nicht einer mehr von denen. :D
Nachdem ich sie jetzt serverseitig gleich draußen lasse, hatte ich das gestern über viele Stunden mal beobachtet und das Verhalten Schritt für Schritt noch angepasst.

Es wurden immer weniger und sie scheiterten immer öfter, der Letzte abends kam dann irgendwo aus Schweden....
Ab dem Zeitpunkt habe ich auch die Registrierung für das Forum wieder frei gegeben, es kann sich also jeder neue (ernsthafte) Interessent wieder hier anmelden. :)

[Alfanta]

Aber manche sind so witzig (wie z.B. das Foto der Perle aus angeblich USA, dessen Poster in Wahrheit in der Ukraine steckt), dass man sie einfach mal stehen lassen muss... zur allgemeinen Erheiterung. :)
Sieht doch ganz nett aus, die Kleine. Nur auf irgendwelche Links klicken sollte natürlich niemand, aber so viel "Intelligenz" und Eigenverantwortung setzen wir auch bei den Usern dieses Forums voraus. :)

Wie, wo, was.. die war nicht echt? Ich habe ihr Geld überwiesen damit sie hier her kommen kann. Warum sagt mir das keiner. :cool:

[Jörg Technik]

Wieso, hat doch geklappt. Sie ist heute morgen angekommen und hat bei mir geklingelt. :D

[Andy]

und .... jetzt aber Butter bei die Fisch ....:)

[Jörg Technik]

Der Gentleman genießt und schweigt.... :D

[Boxster-OAL]

Hallo Jörg,
mal eine Frage. Wenn ich im Forum angemeldet bin, kann ich nicht auf die Startseite zugreifen. Da kommt die Meldung, dass ich dafür keine Zugriffsrechte habe. Kannst du mal schauen, warum das so ist?
Danke Hermann

[Jörg Technik]

Hallo Hermann,

jepp, es lag an Deiner "Beförderung".
Die Rechte müssen dummerweise für die Startseite (und deren Drumherum) separat gesetzt werden, was ich natürlich übersehen hatte! *Shame on me* :o

Sollte jetzt aber funktionieren. :) Probiers bitte noch mal.

[Andy]

Herzlichen Dank Jörg, auch für die Nennung im Dounloud !

[Jörg Technik]

Gerne, kein Problem. :)

[Boxster-OAL]

Super und vielen Dank Jörg für die schnelle Behebung. Jetzt ist wieder alles ok.

Schöne Grüße Hermann

[Jörg Technik]

Fein, so soll es auch sein. :)