10
Server kompromittiert (c99shell) - was tun?
Hallo liebe Mitadministratoren,
ich betreue die Website eines Kunden, die bei euserv gehostet wird. Heute erhielt ich einen Anruf, dass ein Zugang zu seiner Seite nicht mehr möglich ist. Ich warf einen Blick auf seine Site und stelle fest, dass statt des üblichen Internetauftritts das Webfrontend einer phpshell mit dem Namen "c99shell" geöffnet wird. Ich habe mir einen kurzen Überblick verschafft, was das Ding leisten kann und bin entsetzt! Hier ein Screenshot:
Natürlich habe ich sofort die komplette Site von einem Backup auf den Server zurückgespiegelt, doch das hilft nichts - vermutlich ist auch nicht nur der Account meines Kunden betroffen, sondern der gesamte Server.
Hat jemand einen Vorschlag, was ich jetzt auf die Schnelle tun könnte (außer den Hoster davon zu informieren)?
ich betreue die Website eines Kunden, die bei euserv gehostet wird. Heute erhielt ich einen Anruf, dass ein Zugang zu seiner Seite nicht mehr möglich ist. Ich warf einen Blick auf seine Site und stelle fest, dass statt des üblichen Internetauftritts das Webfrontend einer phpshell mit dem Namen "c99shell" geöffnet wird. Ich habe mir einen kurzen Überblick verschafft, was das Ding leisten kann und bin entsetzt! Hier ein Screenshot:
Hat jemand einen Vorschlag, was ich jetzt auf die Schnelle tun könnte (außer den Hoster davon zu informieren)?
Auf Facebook teilen
Auf Twitter teilen
Auf Reddit teilen
Auf Linkedin teilenBitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 99248
Url: https://administrator.de/forum/server-kompromittiert-c99shell-was-tun-99248.html
Ausgedruckt am: 22.12.2024 um 16:12 Uhr
10 Kommentare
Neuester Kommentar
hallo,
auch wenn du es nicht hören willst:
informier den Hoster sofort!
auch wenn du es nicht hören willst:
informier den Hoster sofort!
Ich würde erstmal alle Daten vom Server nehmen, damit dem Kunde kein Schaden entsteht.
Hoster informieren, dass der mal das Problem lokal analysieren soll...
Ist es ein VHost, oder Root-Server ?? sieht mir nach einem VHost aus
Hoster informieren, dass der mal das Problem lokal analysieren soll...
Ist es ein VHost, oder Root-Server ?? sieht mir nach einem VHost aus
Ja, es handelt sich um einen VHost. EUserv ist schon informiert. Ich hoffe, ich bekomme von denen mal eine Rückmeldung, wie es passieren konnte, dass sich jemand einen shell-Zugang installieren konnte, aber ich denke, EUserv wird nicht gerade mit Informationen darüber protzen... 
Ich tippe auf eine Sicherheitslücke in der Webapplikation deines Kunden, oder wenn es sich um eine VServer handelt, wurde dieser ggf. eine Weile nicht aktualisiert. Dafür ist bei VServern der Mieter verantwortlich und nicht das hostende RZ. Haben zumindest die meisten VServer-Anbieter so in ihren AGB stehen.
Was dich in erster Linie jetzt interessieren sollte ist die Ursache.
Wenn du die Moeglichkeit hast dann versuche an die Logs zu kommen.
Desweiteren solltest du bevor du dein Images wiederverwendest es ueberpruefen und die ausgenutzte Schwachstelle finden. Anderfalls ist es eine Sache von Minuten bis der Server wieder owned ist.
Wenn du die Moeglichkeit hast dann versuche an die Logs zu kommen.
Desweiteren solltest du bevor du dein Images wiederverwendest es ueberpruefen und die ausgenutzte Schwachstelle finden. Anderfalls ist es eine Sache von Minuten bis der Server wieder owned ist.
Ich werde berichten, wenn sich etwas vonseiten EUserv klärt.
Die Site läuft wieder. Auch wenn sich EUserv mir gegenüber nicht sehr informativ verhalten hat, habe ich in der Datenbank zumindest eine Spur gefunden, auf wessen Konto der Hack ging. Es handelt sich dabei um eine türkische Hackergruppe, die sich selbst offenbar "Warrior-Turk" nennt und noch eine Reihe weiterer Seiten 'defaced' hat.
Ich werde weiterhin versuchen, über diese Gruppe genug herauszufinden, um ihnen ein wenig an den Karren zu fahren. Sollte jemand diesbezüglich schon Informationen haben, so möge er sie bitte hier hinterlassen! Vielen Dank
Ich werde weiterhin versuchen, über diese Gruppe genug herauszufinden, um ihnen ein wenig an den Karren zu fahren. Sollte jemand diesbezüglich schon Informationen haben, so möge er sie bitte hier hinterlassen! Vielen Dank
Du kannst den Jungs von Warrior-Tuerk nicht an den Karren fahren, warum das so ist, kannst Du bei guten Tuerkischkenntnissen auf folgender Seite herausfinden:
1. Cyber-Warrior Net
2. CYBEr Warrior
Das es moeglich war die C99 auf den Host hochzuladen spricht in diesem Fall nicht gerade fuer die Qualitaet des Anbieters.
Saludos
gnarff
1. Cyber-Warrior Net
2. CYBEr Warrior
Das es moeglich war die C99 auf den Host hochzuladen spricht in diesem Fall nicht gerade fuer die Qualitaet des Anbieters.
Saludos
gnarff
Leider habe ich keine Türkisch-Kenntnisse, wäre aber trotzdem interessiert zu erfahren, warum ich denen nicht an den Karren fahren kann.
Ich kann es ja noch irgendwie nachvollziehen, wenn jemand versucht, "gegnerische" Sites zu hacken oder zu defacen oder was auch immer... ob es nun strategische, persönliche oder politische Gründe hat, auch wenn ich es nicht gutheiße. Warum sich aber die "Jungs" an harmlosen Sites vergreifen, die keinerlei Anlass zu Angriffen bieten, kann ich nicht nachvollziehen. Dafür gibts ja noch nichtmal Fame. Das nervt nur und stärkt die Intoleranz solchen "Jungs" gegenüber. Und die verplempern nicht nur meine, sondern auch noch ihre Zeit damit. No Respect!
Saludos!
Ich kann es ja noch irgendwie nachvollziehen, wenn jemand versucht, "gegnerische" Sites zu hacken oder zu defacen oder was auch immer... ob es nun strategische, persönliche oder politische Gründe hat, auch wenn ich es nicht gutheiße. Warum sich aber die "Jungs" an harmlosen Sites vergreifen, die keinerlei Anlass zu Angriffen bieten, kann ich nicht nachvollziehen. Dafür gibts ja noch nichtmal Fame. Das nervt nur und stärkt die Intoleranz solchen "Jungs" gegenüber. Und die verplempern nicht nur meine, sondern auch noch ihre Zeit damit. No Respect!
Saludos!
Ich werde Dir via PN antworten und den Thread schliessen, da die eigentliche Frage ja nun beantwortet wurde und Politik, in welcher Geschmacksrichtung auch immer, nicht Gegenstand unseres Forums ist.
Saludos
gnarff
Saludos
gnarff
