Webelite Blog

Der Besuch von Aleksey aus Moskau war offensichtlich kein Einzelfall. Immer mehr Webmaster klagen über gehackte und mit Malware und Viren verseuchte Webseiten. Auch unseren Server hatte man infiltriert, aber die Freude dieser kleinen, schmutzigen Schakale währte nicht sehr lange. Und diesmal kamen sie nicht aus Moskau sondern direkt aus Amerika. Was allerdings nicht zwangsläufig bedeutet, dass es Amerikaner waren.

Einige Webmaster hat es dabei ziemlich arg erwischt. So waren die Index-, Default-, Login- und Main-Dateien im Hauptverzeichnis der Domain und in allen Unterverzeichnissen infiziert. So fungierte jeder Besucher der Seite, der nur über einen unzureichenden Viren- und Malwareschutz verfügte, als potentieller Überträger. Wie so ein viraler Effekt weitergeht, brauche ich wohl nicht zu erläutern.

Als erstes denkt man an eine Sicherkeitslücke auf dem Server oder in einem Script. Und auch Enni muss sich Asche auf's Haupt streuen. Aber, c'est la vie, an das Einfachste denkt man zum Schluss. Beim Auswerten der Access Logs wurde sehr schnell klar, dass es sich nicht um ein Sicherheitslücke handelte, sondern man sich Zugang über den FTP-Account verschafft hatte.

Wie man in den Besitz der Zugangsdaten gekommen ist, können wir nicht mehr nachvollziehen, aber es gibt eine Reihe von Möglichkeiten.

• Verschicken des Passwortes per Email
  Bevor eine Email ihren Empfänger erreicht, umkreist diese mitunter mehrfach die Erde bis der entsprechende Zielserver ausfindig gemacht wurde. Zwar dauert diese Prozedur nur wenige Sekunden, aber auf diesem langen Weg gibt es genügend Zugriffspunkte, um eine Email abzufangen. Da die meisten User Emails unverschlüsselt verschicken, ist der Inhalt quasi für die ganze Welt einsehbar.
  
• Mit Maleware infizierte PCs
  Maleware und andere Spionage Programme handelt man sich schneller ein als man glaubt. Meist ist bereits der Besuch einer infizierten Seite ausreichend, um sich einen Spion auf die Festplatte zu ziehen. Die größten Virenschleudern sind Pornoseiten. Wie im richtigen Leben fängt man sich hier ziemlich schnell etwas ein und bemerkt es noch nicht einmal. Aber auch Videocode enthält nur allzu oft bösartigem Code mit dem PCs durchsucht oder Tastatureingaben getrackt und an den Absender der Spyware weitergegeben werden.
  
• Entschlüsselung des Passwortes mit Hackersoftware
  Es gibt Programme bzw. Scripte mit denen User/Passwort-Kombinationen ermittelt werden können. Rein theoretisch kann damit jede Kombination ermittelt werden. Einziges Problem dabei ist der Zeitfaktor. Je höher die Verschlüsselung, desto länger dauert die Entschlüsselung.
  
• Einfache, leicht zu erratende Kombinationen
  Bei FTP-Zugangsdaten hat mal als User i.d.R. keinen Einfluss auf den Usernamen, daher muss das Passwort entsprechend stark sein. Es sollte mindestend 8-12 Zeichen lang sein und neben kleinen und großen Buchstaben, auch Ziffern und Sonderzeichen enthalten. Diese Phrasen sollte man willkürlich, ohne groß nachzudenken, erstellen. Zu viel Denken bringt bereits wieder ein System in das Passwort. Wer Angst hat, das Passwort zu vergessen, kann natürlich einen kleinen Trick anwenden. Schreibt Euch einen Satz auf, den Ihr Euch gut merken könnt. Enni kann sich z.B. gut merken: "Das Optimalgewicht meiner Schwiegermutter liegt bei 2,6 kg -inklusive Urne." Davon nimmt man die Anfangsbuchstaben und alle Ziffern, Satz- und Sonderzeichen. Heraus kommt dann:"DOmSlb2,6k-iU." Und das ist schon ein ganz guter Ansatz für ein sicheres und leicht zu merkendes Passwort.
  Übrigens ist die bei Zugangsdaten für den Adminbereich von Scripten am häufigsten gewählte Kombination "admin" und "123456". Ein wahrer Traum für jeden Hacker!
  

Wie sollte man bei gehackten und infizierten Webseiten vorgehen.

1. Serverzugangsdaten ändern! (ERSTE und WICHTIGSTE Maßnahme, um neue Infektionen zu vermeiden.)
   
2. Viren- und Malwarescanner aktualisieren und gesamtes PC-System scannen. Ein Virenscanner reicht i.d.R. nicht aus, daher sollte immer parallel ein Malware-Scanner wie Ad-Aware installiert sein.
   
3. Entfernen des Malwarecodes aus allen Dateien bzw. Überschreiben der infizierten Dateien mit den Originaldateien.

Diese Maßnahmen sollten sehr schnell gehen und haben absolute Priorität. Warum? Der erste, der ziemlich verschnupft auf Viren und Malware reagiert, ist Googles kleiner Bot und der telefoniert sofort nach Hause. Das Ergebnis ist, dass im Google Index eine Warnung ausgegeben wird, dass von dieser Seite eine potentielle Gefahr ausgeht. Im Google Chrome wird die Seite gar nicht erst angezeigt und stattdessen eine wundervolle, knallrote Seite mit einer ziemlich eindeutigen Warnung ausgegeben. Eindeutiger geht es nicht mehr. Das ist der ultimative Super-GAU für eine Webseite. Nicht nur, dass der Besucherstrom massiv zurückgeht und die Seite im Index nach unten rast wie ein Fahrstuhl in den Petronas Towers, viel schlimmer ist, dass Google die Warnungen auch auf Seiten anzeigt, die zur befallenen Seite verlinken. Damit verliert Ihr Eure Backlinks und diese wieder aufzubauen, ist mit Sicherheit eine ziemlich langfristige Angelegenheit. Damit wird Euer Online Business langfristig, massiv geschädigt. Anderseits spart Ihr Euch damit das Lesen von Enni's letztem eBook.