Webelite Blog

Die Angriffe sind mit traditionellen Mitteln kaum zu stoppen, fürchtet Mary Landesman von Scansafe in London. Das Problem: Weder Google noch die „entführten“ Webseiten können viel zur Abwehr unternehmen.

Der Trojaner (Troj/JSRedir-R) selbst wird von Hackern mit Vorliebe auf seriösen Webseiten platziert. Wird eine davon aufgerufen, lädt er von einer anderen Webseite – aktuell gumblar.cn aus China - weitere Schädlinge nach. Einer von ihnen klinkt sich unbemerkt in die Anzeige von Suchergebnissen durch Google ein. Die Google-Trefferleiste erscheint vordergründig völlig normal, aber statt wirklich auf die angezeigte Webseite des Sucheregebnisses wird dann unbemerkt auf eine Webseite umgeleitet, die in der Regel der Originalseite täuschend ähnlich nachgebaut ist.

Oft sind es Banken- E-Commerce oder Social-Networkingseiten, kurz alles, wo man sensible Passwörter eingeben muss. Mit denen kann der Cyber-Kriminelle dann hinterher weiterarbeiten. Besonders beliebt sind Zugänge zu so genannte ftp-Accounts. Über ftp-Accounts werden in der Regel Web-Seiten mit neuem Programmcode versorgt. Hat der Hacker die ftp-Passwörter, kann er in aller Ruhe Teile des Original-Softwarecodes der Webseite durch eine neue Version ersetzen, die ihrerseits wieder den Gumblar-Trojaner verteilt.

Da die Google-Ergebnismanipulation ausschließlich auf dem Rechner des Nutzers stattfindet, ist der Suchmaschinenriese selber relativ machtlos, wenn ein PC erst einmal verseucht ist. Werden infizierte Webseiten erkannt, werden sie ausgelistet oder mit Warnhinweisen („visiting this site may harm your computer“) versehen, teilt Google in einem aktuellen Blog-Hinweis mit.Das führt in der Regel zu massiven Einbrüchen im Besucherstrom einer Webseite mit entsprechenden Folgen für Umsatz und Werbeeinnahmen. Unter den Opfern waren laut Google so prominente Adressen wie nomura-usa.com oder rewity.com. Laut Safescan haben sich auch variety.com oder tennis.com als Trojaner-Schleudern betätigt.

Die Gumblar-Hacker erkennen aber in der Regel relativ schnell, wenn infizierte Seiten oder die mit Schadprogrammen vollgestopften Zielseiten „aus dem Verkehr gezogen“ werden und ersetzen die verbrannten IP-Adressen durch neue. „Durch die Komplexität von Gumblar sind traditionelle Abwehrmechanismen wie Viren-Signaturen und Blacklisting wenig effektiv“, so Scansafe Analystin Landesman. „Das enorme Wachstumstempo sollte alle IT-Verantwortlichen aufhorchen lassen.“ Laut Scansafe-Zahlen ist 2008 die Anzahl von Malware-Infektionen um 300 Prozent gewachsen.

Die Zahl der Webseiten, die vergangen Woche mit dem Script „Troj/JSRedir-R“ verseucht wurden, lag „sechsmal höher als bei jedem anderen Trojaner“, warnt auch Graham Cluley von Sophos in London. Insgesamt, so Cluley, werde derzeit weltweit alle 4,5 Sekunden eine Webseite mit irgendeinem Trojaner oder Virus angegriffen. Die Virenscanner von Sophos blockten jede Webseite, die versuche über den verdächtigen Code auf Gumblar zuzugreifen.

Aber auch Cluley räumt ein, das dies einer Sysifusarbeit gleichkomme. „Es sieht so aus, als ob die Hacker den Code beliebig manipulieren und verändern können“, so Cluley. Dem stimmt Landesman zu: „Die lernen sehr schnell“, sagt sie. „Zusammen mit mehreren anderen dynamischen Komponenten macht dies Gumblar so gefährlich.“ 

(handelsblatt) 

Der Besuch von Aleksey aus Moskau war offensichtlich kein Einzelfall. Immer mehr Webmaster klagen über gehackte und mit Malware und Viren verseuchte Webseiten. Auch unseren Server hatte man infiltriert, aber die Freude dieser kleinen, schmutzigen Schakale währte nicht sehr lange. Und diesmal kamen sie nicht aus Moskau sondern direkt aus Amerika. Was allerdings nicht zwangsläufig bedeutet, dass es Amerikaner waren.

Einige Webmaster hat es dabei ziemlich arg erwischt. So waren die Index-, Default-, Login- und Main-Dateien im Hauptverzeichnis der Domain und in allen Unterverzeichnissen infiziert. So fungierte jeder Besucher der Seite, der nur über einen unzureichenden Viren- und Malwareschutz verfügte, als potentieller Überträger. Wie so ein viraler Effekt weitergeht, brauche ich wohl nicht zu erläutern.

Als erstes denkt man an eine Sicherkeitslücke auf dem Server oder in einem Script. Und auch Enni muss sich Asche auf's Haupt streuen. Aber, c'est la vie, an das Einfachste denkt man zum Schluss. Beim Auswerten der Access Logs wurde sehr schnell klar, dass es sich nicht um ein Sicherheitslücke handelte, sondern man sich Zugang über den FTP-Account verschafft hatte.

Wie man in den Besitz der Zugangsdaten gekommen ist, können wir nicht mehr nachvollziehen, aber es gibt eine Reihe von Möglichkeiten.

• Verschicken des Passwortes per Email
  Bevor eine Email ihren Empfänger erreicht, umkreist diese mitunter mehrfach die Erde bis der entsprechende Zielserver ausfindig gemacht wurde. Zwar dauert diese Prozedur nur wenige Sekunden, aber auf diesem langen Weg gibt es genügend Zugriffspunkte, um eine Email abzufangen. Da die meisten User Emails unverschlüsselt verschicken, ist der Inhalt quasi für die ganze Welt einsehbar.
  
• Mit Maleware infizierte PCs
  Maleware und andere Spionage Programme handelt man sich schneller ein als man glaubt. Meist ist bereits der Besuch einer infizierten Seite ausreichend, um sich einen Spion auf die Festplatte zu ziehen. Die größten Virenschleudern sind Pornoseiten. Wie im richtigen Leben fängt man sich hier ziemlich schnell etwas ein und bemerkt es noch nicht einmal. Aber auch Videocode enthält nur allzu oft bösartigem Code mit dem PCs durchsucht oder Tastatureingaben getrackt und an den Absender der Spyware weitergegeben werden.
  
• Entschlüsselung des Passwortes mit Hackersoftware
  Es gibt Programme bzw. Scripte mit denen User/Passwort-Kombinationen ermittelt werden können. Rein theoretisch kann damit jede Kombination ermittelt werden. Einziges Problem dabei ist der Zeitfaktor. Je höher die Verschlüsselung, desto länger dauert die Entschlüsselung.
  
• Einfache, leicht zu erratende Kombinationen
  Bei FTP-Zugangsdaten hat mal als User i.d.R. keinen Einfluss auf den Usernamen, daher muss das Passwort entsprechend stark sein. Es sollte mindestend 8-12 Zeichen lang sein und neben kleinen und großen Buchstaben, auch Ziffern und Sonderzeichen enthalten. Diese Phrasen sollte man willkürlich, ohne groß nachzudenken, erstellen. Zu viel Denken bringt bereits wieder ein System in das Passwort. Wer Angst hat, das Passwort zu vergessen, kann natürlich einen kleinen Trick anwenden. Schreibt Euch einen Satz auf, den Ihr Euch gut merken könnt. Enni kann sich z.B. gut merken: "Das Optimalgewicht meiner Schwiegermutter liegt bei 2,6 kg -inklusive Urne." Davon nimmt man die Anfangsbuchstaben und alle Ziffern, Satz- und Sonderzeichen. Heraus kommt dann:"DOmSlb2,6k-iU." Und das ist schon ein ganz guter Ansatz für ein sicheres und leicht zu merkendes Passwort.
  Übrigens ist die bei Zugangsdaten für den Adminbereich von Scripten am häufigsten gewählte Kombination "admin" und "123456". Ein wahrer Traum für jeden Hacker!
  

Wie sollte man bei gehackten und infizierten Webseiten vorgehen.

1. Serverzugangsdaten ändern! (ERSTE und WICHTIGSTE Maßnahme, um neue Infektionen zu vermeiden.)
   
2. Viren- und Malwarescanner aktualisieren und gesamtes PC-System scannen. Ein Virenscanner reicht i.d.R. nicht aus, daher sollte immer parallel ein Malware-Scanner wie Ad-Aware installiert sein.
   
3. Entfernen des Malwarecodes aus allen Dateien bzw. Überschreiben der infizierten Dateien mit den Originaldateien.

Diese Maßnahmen sollten sehr schnell gehen und haben absolute Priorität. Warum? Der erste, der ziemlich verschnupft auf Viren und Malware reagiert, ist Googles kleiner Bot und der telefoniert sofort nach Hause. Das Ergebnis ist, dass im Google Index eine Warnung ausgegeben wird, dass von dieser Seite eine potentielle Gefahr ausgeht. Im Google Chrome wird die Seite gar nicht erst angezeigt und stattdessen eine wundervolle, knallrote Seite mit einer ziemlich eindeutigen Warnung ausgegeben. Eindeutiger geht es nicht mehr. Das ist der ultimative Super-GAU für eine Webseite. Nicht nur, dass der Besucherstrom massiv zurückgeht und die Seite im Index nach unten rast wie ein Fahrstuhl in den Petronas Towers, viel schlimmer ist, dass Google die Warnungen auch auf Seiten anzeigt, die zur befallenen Seite verlinken. Damit verliert Ihr Eure Backlinks und diese wieder aufzubauen, ist mit Sicherheit eine ziemlich langfristige Angelegenheit. Damit wird Euer Online Business langfristig, massiv geschädigt. Anderseits spart Ihr Euch damit das Lesen von Enni's letztem eBook. 

Wenn Ihr beim Aufrufen Eurer Seiten plötzlich von Eurem Virenscanner angeschrien werdet oder Google's Chome eine Malware-Warnung anzeigt, dann hattet Ihr wahrscheinlich Besuch von Aleksey aus Moskau.

Wir wissen noch nicht, wie er es geschafft hat, auf die jeweiligen Server zu kommen (vermutlich über eine Lücke in einem Weblog), aber immerhin hat er es geschafft, alle Index-Dateien in den Hauptverzeichnissen der Domains zu ändern. Allein gestern hatten wir 10 Supportanfragen von Kunden, deren Server gehackt wurden. Und alle bei verschiedenen Providern.

Der Angreifer fügt ein hardcoded Script in die Index-Dateien ein, allerdings nur in die, die im Hauptverzeichnis einer Domain liegen. Bei PHP-Dateien befindet sich der Code am Ende der Datei. In HTML-Dateien wird er unmittelbar hinter dem schließenden HEAD-TAG eingefügt. Da es sich bei dem eingebetten Code um PHP-Code handelt, wird er innerhalb von HTML-Seiten ignoriert. Es sei denn die Dateien werden automatisch geparst.

Der eingefügte Code verweißt auf die folgende Datei:

Wie wird man den eingeschleusten Code wieder los? Entweder direkt im HTML-Editor löschen oder einfach die Index-Datei mit der Originaldatei überschreiben.