Virus durch manipulierte Dateien?

[Georgius]

@Torsen B: Das müßte aber in Logfiles zu finden sein. Glaube nicht das es die Eindringlinge gesäubert haben.

 

[Thunderclap]

Wenn das ausgeschlossen werden kann, dann kann es nur noch sein, dass durch einen anderen Trojaner auf dem Admin-Client-PC die FTP-Logindaten ausgelesen wurden, denn anders ist eine Dateimanipulation nicht möglich.

Du glaubst gar nicht wieviele Möglichkeiten ein Server theoretisch bietet, Daten zu manipulieren wenn entsprechende Exploits existieren...

Der Angriff erfolgt definitiv nicht per FTP... im vBulletin-Board haben andere Boardbetreiber mit exakt dem selben Szenario den FTP-Dienst ihrer Server komplett deaktiviert und den Zugang per SFTP/SSH nur auf ihren Rechner mit statischer IP durch die Firewall beschränkt... und trotzdem wurde das Board wieder gehackt..

 

[Torsten_HB]

@Torsen B: Das müßte aber in Logfiles zu finden sein. Glaube nicht das es die Eindringlinge gesäubert haben.

Tja, wäre dem so, hätte man das Leck vermutlich längst gefunden. Ich bin auch schon ganz gespannt, betreibe nämlich auch ein vB-Forum.....

 

[Fruchtzwergemutta]

Du glaubst gar nicht wieviele Möglichkeiten ein Server theoretisch bietet, Daten zu manipulieren wenn entsprechende Exploits existieren...

Ob ein Exploit in einer PHP-Anwendung existiert oder nicht, ist erstmal egal. Mit den oben genannten PHP-Einstellungen werden selbst bestehende Exploits komplett wirkungslos.

Der Angriff erfolgt definitiv nicht per FTP... im vBulletin-Board haben andere Boardbetreiber mit exakt dem selben Szenario den FTP-Dienst ihrer Server komplett deaktiviert und den Zugang per SFTP/SSH nur auf ihren Rechner mit statischer IP durch die Firewall beschränkt... und trotzdem wurde das Board wieder gehackt..

Wenn der Angriff nicht per FTP/SSH/SFTP lief, gibts nicht viele Möglichkeiten bei Angriffen auf Dateien:

- Remote file inclusion, wird durch oben genannte PHP-Einstellungen verhindert (häufigste Schwachstelle)
- Trojaner auf dem Server, der Remotezugriff erlaubt (nicht auszuschließen)
- kein chroot bei shared Hosting (unwahrscheinlich)

 

[IcheBins]

Mit den oben genannten PHP-Einstellungen werden selbst bestehende Exploits komplett wirkungslos.

Ausgenommen natürlich die Exploits, die die Wirkung dieser PHP-Einstellungen mittel- oder unmittelbar aushebeln.
Das heimtückische eines Exploits ist gerade die Ausnutzung einer bisher für unmöglich erachteten Angriffsroute.


Grüße,
IcheBins

 

[Fruchtzwergemutta]

Ausgenommen natürlich die Exploits, die die Wirkung dieser PHP-Einstellungen mittel- oder unmittelbar aushebeln.
Das heimtückische eines Exploits ist gerade die Ausnutzung einer bisher für unmöglich erachteten Angriffsroute.

Es gibt keine Exploits, die diese Einstellungen aushebeln können. Sonst wären es ja keine Sicherheitseinstellungen.

Es gibt nur Exploits die bei bestimmten Sicherheitseinstellungen UND schlechter Programmierung funktionieren. Am Anfang steht also immer die schlechte Programmierung. Die hat unter PHP leider solche Ausmaße angenommen, dass solche Sicherheitseinstellungen nötig wurden.

 

[Gast_248107]

Ob ein Exploit in einer PHP-Anwendung existiert oder nicht, ist erstmal egal. Mit den oben genannten PHP-Einstellungen werden selbst bestehende Exploits komplett wirkungslos.

du möchtest nichtmal wissen wo und wie du überall reinkommst und was für krasse löcher sich immer und immer wieder finden lassen. deine php einstellungen nützen einen kericht wenn du dich zwischen eingabe, interpretation und ausgabe hängst. überall hier im forum werden daten eingelesen, verarbeitet, abgespeichert und ausgegeben. vergisst die software dahinter bei der eingabe zb. ein simples "<" zu tilgen, dann kannst du fröhlich html code einschleusen. oder der gute alte buffer-overflow, du erstickst eine routine die daten haben will mit unmengen an zeichen, schwappst damit über die zulässige feldgröße und et voila du kannst waschechten maschinencode in das code segment schieben, der auch ausgeführt wird und der sich schlicht nicht um betriebsystem-sicherheit kümmert. und das sind nur dumme beispiele. was glaubst du wieviele ecken und kanten eine software wie diese hat, deren kompletter source-code offen steht und den jeder auf löcher und risiken studieren kann. thunderclap hat bereits geschrieben, dass dahinter eine industrie steht die den lieben langen tag nichts anderes tut.

 

[pgs]

[...] den FTP-Dienst ihrer Server komplett deaktiviert und den Zugang per SFTP/SSH nur auf ihren Rechner mit statischer IP durch die Firewall beschränkt... und trotzdem wurde das Board wieder gehackt..

...und an diesem Punkt stellt sich mir die Frage, ob man nicht besser "den Stecker zieht". Man bedenke: Allen Anschein nach und mit derzeitigem Kenntnisstand betreibt man wissentlich einen Server, über den offenbar beliebig Schadsoftware verteilt werden kann. Das betrifft natürlich nicht nur das DSLR-Forum.

mfg, pgs

EDIT: Und bitte auch https://www.dslr-forum.de/showpost.php?p=8291712&postcount=151 lesen.

 

[nototious]

...und an diesem Punkt stellt sich mir die Frage, ob man nicht besser "den Stecker zieht". Man bedenke: Allen Anschein nach und mit derzeitigem Kenntnisstand betreibt man wissentlich einen Server, über den offenbar beliebig Schadsoftware verteilt werden kann. Das betrifft natürlich nicht nur das DSLR-Forum.

mfg, pgs

Die Tatsache würde ich als grob fahrlässig beschreiben, vor allem gegenüber unerfahrenen Nutzern die nicht einfach mal das Betriebssystem neu aufsetzen und gleichzeitig noch Daten retten können.

 

[Getunt]

Ich will mal hoffen, das mein PC nicht befallen ist...
Gerade dann passiert sowas, wenn die Lizenz von Kaspersky abgelaufen ist und das neue noch nicht da ist


Frage: Wann war das ca. mit der Datei, die Manipuliert wurde?
Weil ich weis nicht, ob mein PC betroffen ist oder nicht...

 

[pgs]

...und an diesem Punkt stellt sich mir die Frage, ob man nicht besser "den Stecker zieht". Man bedenke: Allen Anschein nach und mit derzeitigem Kenntnisstand betreibt man wissentlich einen Server, über den offenbar beliebig Schadsoftware verteilt werden kann. Das betrifft natürlich nicht nur das DSLR-Forum.

mfg, pgs

Die Tatsache würde ich als grob fahrlässig beschreiben, vor allem gegenüber unerfahrenen Nutzern die nicht einfach mal das Betriebssystem neu aufsetzen und gleichzeitig noch Daten retten können.

Aaaaah, Mooooooment, da habe ich den Konjunktiv vergesssen. Also, ganz wichtig:
Ich wollte nicht ausdrücken, dass der Betreiber des DSLR-Forums wissentlich einen Server, über den offenbar beliebig Schadsoftware verteilt werden kann, betreibt. Um dies zu behaupten, reicht mein Kenntnissstand nicht aus.

Ich habe gemeint, dass man, wenn dem so wäre, wie es hier geschildert wurde, und keine Gegenmaßnahmen einegleitet würden, allem Anschein nach und mit derzeitigem Kenntnisstand man wissentlich einen Server betreiben würde, über den offenbar beliebig Schadsoftware verteilt werden könnte.

Diese Annahme beruht aber auf dem geringen Kenntnisstand, den man über das Forum und das Supportforum von vbulletin erlangen kann. Also im Prinzip, solange man die Maschine selbst nicht gesehen hat: Hörensagen, und damit keinerlei Grundlage für eine Aussage, der Betreiber des DSLR-Forums verteile vorsätzlich oder fahrlässig Schadsoftware.

Die Tatsache [...]

Es ist daher auch nicht zutreffend, von einer Tatsache zu sprechen, es handelt sich um eine Hypothese.

Nur, um hier keinen falschen Eindruck zu erwecken.

mfg, pgs

 

[nototious]

Es wurde doch seitens (zumindest einen) Moderators bestätigt, dass sich ein Angriff jederzeit wiederholen könnte, da die Sicherheitslücke noch nicht geschlossen wurde (bzw. noch nicht einmal gefunden wurde). Daraus schliesse ich, das es eine Tatsache ist, dass wissentlich eine Internetseite online bleibt, über die Schadsoftware an die Benutzer gelangen kann.

 

[Getunt]

Kurze Frage, wann war ca. der Angriff auf das Forum und wie lange war die Schadsoftware online?

 

[acahaya]

Was soll Scorpio denn Eurer Meinung nach machen?
Das Forum so lange schliessen, bis die "Lücke", von der noch nicht mal klar ist, wo man sie suchen soll, geschlossen wird? Dann besteht nämlich die Gefahr, dass das Forum dauerhaft zu bleibt und das will doch wohl auch keiner, oder?

Lasst uns lieber gemeinsam versuchen herauszufinden, welche Einstellungen und Tools (OS, Firewall, Benutzerrechte, Virenscanner, Browsereinstellungen, ...) gestern Nacht zuverlässig funktioniert haben und welche nicht und daraus eine Anleitung basteln, wie die User hier die eigenen PCs so sicher wie möglich machen können, um das Forum wenn auch auf eigene Gefahr und ggf. leicht eingeschränkt weiter nutzen zu können.
Hier müssen wir als User wirklich selbst aktiv werden, die Boardleitung kann ja nicht wissen, wie es auf unseren Rechnern aussieht und hat sicher nicht die Mittel, hier alle denkbaren Betriebssysteme und Browser auszuprobieren.

Ein paar User haben ja im Nachbarthread schon Einstellungen genannt, bei denen die Installation des Trojaners erfolgreich verhindert wurde. Da sollten wir ansetzen und so viele Daten sammeln wie möglich.

Ich selbst kann dazu leider nicht sooo viel beitragen, ich war zu der Zeit nur mit dem iPad und Safari im Forum.

Sabine

 

[pgs]

[...] Das Forum so lange schliessen, bis die "Lücke"[...] geschlossen wird? [...]

Das wäre in der Tat eine Lösung, die 100% sicher ist. Was aber die anderen Forenbetreiber, die vbulletin verwenden, auch machen müssten.

[...] die "Lücke", von der noch nicht mal klar ist, wo man sie suchen soll [...]

Gerade deswegen wäre es eine gar nicht mal so schlechte Lösung. Mir ist klar, dass sie nicht praktikabel ist, aber es wäre eine gute Lösung.

Was würdest du machen, wenn jeden Tag ein Auto einer bestimmten Baureihe in die Luft fliegt, der Hersteller aber nicht sagen könnte, woran es liegt? Würdest du damit weiterfahren?

[...] Dann besteht nämlich die Gefahr, dass das Forum dauerhaft zu bleibt und das will doch wohl auch keiner, oder? [...]

Natürlich will das keiner. Im aller-, aller-, allerschlimmsten Falle müsste man halt mit einer anderen Software von neu anfangen. Und bei einer Migration auf eine andere Software hätte man im laufenden Betrieb wohl eine arge Baustelle mit vielen Komforteinschränkungen. Ein Weltuntergang ist das aber auch nicht. Das wäre dann wie Taxifahren...

Nur mal so ganz prinzipiell.

mfg, pgs

 

[Torsten_HB]

Sicher wäre der Wechsel auf eine andere Forensoftware eine Möglichkeit. Dabei könnten auch alle Daten übernommen werden. Die Frage ist nur, wann werden auch andere Forenprogramme betroffen sein. Wie schon so oft hier geschrieben, 100% Sicherheit gibt es nicht.

 

[detwaxy]

naja, wer so eine panik hat, der macht doch sicher ständige updates. und keiner ist gezwungen sich in vbulletin foren aufzuhalten.

jeder user weiß jetzt bescheid - wo ist das problem? man kann auch überdramatisieren.

allerdings bin cih heil froh das meine eigenen foren über phpbb laufen

 

[pgs]

[...] 100% Sicherheit gibt es nicht.

Das ist richtig. Auf der anderen Seite stehen 100% Gewißheit einer "produktiv" genutzten Sicherheitslücke.

Wie gesagt, immer nur prinzipiell. Letztendlich muss man kucken, was man macht. Ich finde nur die Haltung "Ach, was soll man machen, es gibt ja keine Alternativen" bemerkenswert.

mfg, pgs

 

[pgs]

naja, wer so eine panik hat, der macht doch sicher ständige updates. und keiner ist gezwungen sich in vbulletin foren aufzuhalten.

jeder user weiß jetzt bescheid - wo ist das problem? man kann auch überdramatisieren.

Sicherheitsdenken im IT-Bereich ist zunächst einmal praktizierte Paranoia. und das ist auch gut so. Kompromisse hin zur Praktikabilität wird man immer eingehen müssen, aber deswegen sollte man seine Abstraktionsfähigkeit nicht beerdigen.

allerdings bin cih heil froh das meine eigenen foren über phpbb laufen

Warum denn das bitte? Wer so eine Panik hat, der macht doch sicher ständige Updates. Und keiner ist gezwungen, sich in vbulletin-Foren aufzuhalten. Jeder User weiß jetzt Bescheid - wo ist das Problem? Man kann auch überdramatisieren.

mfg, pgs

 

[AHW]

Also ich hab nichts, war in der Nacht vom 14. zum 15 und vom 15 auf den 16. sowohl angemeldet als auch als Gast hier, einmal mit WIN 7 64 bit und einmal mit XP 32 bit und beidemal mit Avira Premium Security Suite.
Keine Warnung und keine Schadsoftware auf meinen Rechnern. Ausser mit Avira auch noch mit anderen Virenscannern und Rootkitsuchern geprüft, nichts.