Hmmm
Mir wurde berichtet, dass Seiten (.de) auf einem meiner Server plötzlich auf andere Seiten umgeleitet werden.
Habe eben damit begonnen nach der Ursache zu suchen (und noch nichts gefunden) aber plötzlich ist wieder alles normal.
Was kann denn das nun wieder sein. (In all den Jahren wurde noch nie was gehackt bei mir)
Hast du es denn selbst auch gesehen? War das eine richtige Umleitung (also HTTP Code 30x?) Oder ein DNS-Hijacking Problem?
Ja, ich habe es selbst kurz gesehen. Mir aber dummerweise die Ziel-URL nicht gemerkt, da ich nicht damit gerechnet habe, dass es so schnell wieder verschwindet. Es war auch keine sofortige Umleitung. Die ursprüngliche, korrekte Seite erschien zunächst und nach so 2-3 Sekunden wurde dann weitergeleitet.
Auf dem Server selbst habe ich bis jetzt noch keine Unregelmäßigkeiten entdecken können. Auch nichts in den DNS-EInstellungen im CCP.
Seltsam-
Ja, ich habe es selbst kurz gesehen. Mir aber dummerweise die Ziel-URL nicht gemerkt, da ich nicht damit gerechnet habe, dass es so schnell wieder verschwindet. Es war auch keine sofortige Umleitung. Die ursprüngliche, korrekte Seite erschien zunächst und nach so 2-3 Sekunden wurde dann weitergeleitet.
Auf dem Server selbst habe ich bis jetzt noch keine Unregelmäßigkeiten entdecken können. Auch nichts in den DNS-EInstellungen im CCP.
Seltsam-
Wenn das dein eigener Server war, solltest du das ja im Webserver Log sehen müssen. Also die Weiterleitungen. Suche doch mal explizit nach 30x Codes. Die sollten dann mehr verraten. War das nur bei einer bestimmten Applikation? Ein Wordpress oder sowas?
Ah. Ich habe veränderte index.php gefunden. (Datum Vorgestern)
Mist. Wo ich meine Server doch so gut absichere. 
Zum Glück ist es ein Cloudserver von H. Da erstelle ich jetzt einfach erstmal den Server neu aus dem Backup von vor 7 Tagen, schalte diese eine Anwendung ab und aktualisiere alles andere. Dann sehen wir weiter.
Ah. Ich habe veränderte index.php gefunden. (Datum Vorgestern)
Mist. Wo ich meine Server doch so gut absichere.
Zum Glück ist es ein Cloudserver von H. Da erstelle ich jetzt einfach erstmal den Server neu aus dem Backup von vor 7 Tagen, schalte diese eine Anwendung ab und aktualisiere alles andere. Dann sehen wir weiter.
Funktioniert das mit dem Image so einfach, ohne dass du die neuen exorbitant hohen Preise zahlen musst?
Sieht so aus.
Ich erstelle ja keinen neuen Server, sondern mache ein Rebuilt aus dem Backup.
Wenn ich allerdings aus dem Snapshot, den ich vorher vom gehackten Server gemacht habe, einen neuen hochziehe, um nach der Ursache zu suchen, wird das wohl teurer. Aber den kann ich ja danach wieder löschen.
EDIT: Ha! Von wegen! Ich KANN gar keinen Server aus dem Snapshot erstellen. Das ist ein CAX (ARM) und dafür sind keinerlei Resourcen an keinem der Standorte verfügbar. Ich kann also garnicht nach der Ursache suchen. 
diese eine Anwendung
Verrätst du, was es war?
Kann ich bei einem Webhosting für alle Postfächer E-Mail-Eingang nur für bestimmte Domains whitelisten, mit Ausnahme eines catchall-Postfachs?
Sodass an netcup@example.com nur mails von *@netcup.de und *@netcup.com etc. ankommen?
Verrätst du, was es war?
Das war php-Eigenbau. Kein CMS.
Aber ich habe auch Joomla auf dem Server. Kann auch sein, dass dies das Einfallstor war.
Ich KANN gar keinen Server aus dem Snapshot erstellen. Das ist ein CAX (ARM) und dafür sind keinerlei Resourcen an keinem der Standorte verfügbar. Ich kann also garnicht nach der Ursache suchen.
Dann vielleicht ein tar-Archiv erstellen und irgendwo anders wieder auspacken um die Dateien zu analysieren?
Dann vielleicht ein tar-Archiv erstellen und irgendwo anders wieder auspacken um die Dateien zu analysieren?
Geht ja nun nicht mehr. Ich habe den Server ja schon mit einem Backup überschrieben und den infizierten nur als Snapshot aus dem ich momentan keinen Server wiederherstellen kann.
Ist aber jetzt auch egal. Ich warte einfach bis zur nächsten Infizierung. 
Geht ja nun nicht mehr. Ich habe den Server ja schon mit einem Backup überschrieben und den infizierten nur als Snapshot aus dem ich momentan keinen Server wiederherstellen kann.
Ist aber jetzt auch egal. Ich warte einfach bis zur nächsten Infizierung.
Man haette ja auch die Logs lesen und anhand des Zeitstempels relativ schnell die Ursache finden koennen.
Dir ist klar, dass die Sicherheitsluecke immer noch existent sein muss?
Kann ich bei einem Webhosting für alle Postfächer E-Mail-Eingang nur für bestimmte Domains whitelisten, mit Ausnahme eines catchall-Postfachs?
Sodass an netcup@example.com nur mails von *@netcup.de und *@netcup.com etc. ankommen?
Das sollte problemlos mit einer Discard Sieve-Regel realisiert werden koennen.
Kann ich bei einem Webhosting für alle Postfächer E-Mail-Eingang nur für bestimmte Domains whitelisten, mit Ausnahme eines catchall-Postfachs?
Sodass an netcup@example.com nur mails von *@netcup.de und *@netcup.com etc. ankommen?
Die Frage ist nicht ganz klar gestellt. Ich habe sie zuerst auch so verstanden wie ckd , also dass du alles löschen möchtest außer Mail von diesen Domains. Aber jetzt denke ich, dass es dir darum geht, ob es die "Whitelist" Funktion in der Abteilung "Spamfilter", die man für einzelne Email-Accounts mit Domains befüllen kann, auch global für das ganze Konto gibt, und andere Mails auch ankommen sollen. Eine Funktion, um das eine oder das andere für alle Accounts oder für alle außer wenige festzulegen, sehe ich aber nirgendwo. Für einzelne Accounts kann man beides machen, auch für alle, aber das ist dann Fleißarbeit und immer nur im Nachgang möglich, wenn ein Account erstellt wird.
Man haette ja auch die Logs lesen und anhand des Zeitstempels relativ schnell die Ursache finden koennen.
Ja, aber ich wollte das alles in Ruhe auf einem Serverklon machen, und hatte nicht damit gerechnet, dass ich aus dem Snapshot zur Zeit keinen Server erstellen kann. Nun ist es zu spät.
Dir ist klar, dass die Sicherheitsluecke immer noch existent sein muss?
Kann sein, muss aber nicht. Die eine Anwendung (Das Eigengewächs) habe ich abgeschaltet, das schaue ich mir irgendwann mal in Ruhe an und die zweite (wahrscheinlichere) Möglichkeit, war die Joomla-Installation mit nicht rechtzeitig aktualisiertem JCE-Editor. (Aktuelle Lücke, s.d.) Das habe ich nun gefixt. Zusätzlich noch Härtung, die das Ausbrechen aus den Verzeichnissen verhindern. Andere Einbruchsstellen sind eher unwahrscheinlich.
Am Zeitstempel der geänderten Dateien habe ich gesehen, dass es vor zwei Tagen passiert sein muss. Der Rebuilt basiert auf einem Image das eine Woche alt ist.
Es kann natürlich auch früher passiert sein ujnd erst jetzt aktiv geworden, aber ich bin erstmal zuversichtlich. Wenn es anders ist, werde ich es ja merken. Das ist alles kein Zeugs, dass ungeheuer wichtig ist. Und das allermeiste statisch und könnte zur Not aus viel älteren Backups wieder aufgebaut werden.
Möglichkeit, war die Joomla-Installation mit nicht rechtzeitig aktualisiertem JCE-Editor. (Aktuelle Lücke, s.d.) Das habe ich nun gefixt.
Danke für den Hinweis muss ich gleich mal checken, hab ihn zwar nur im Backend im Gebrauch.
...hab ihn zwar nur im Backend im Gebrauch.
Ja, ich auch und dachte deshalb fälschlicherweise, dass es kein Problem sein, zumal nur ich Zugang habe.
Aber offenbar kann man die Lücke remote trotzdem ausnutzen.
"Betroffen sind alle Versionen von JCE Free und JCE Pro vor 2.9.99.5 - und zwar unabhängig davon, ob auf deiner Joomla-Seite überhaupt eine Registrierung möglich ist. Sobald JCE installiert ist, ist die Seite verwundbar."
Boah, gerade schaue ich mal wieder bei I0N0S rein und traue meinen Augen nicht. Die haben wohl heimlich, still und leise jetzt auch die zweite Stufe der Preiserhöhung gezündet. Das, wofür ich noch weitere 18 Monate lang 9€ pro Monat zahle und danach 15€, kostet jetzt (mit einigen zusätzlichen, neuen kostenpflichtigen Cloud-Optionen, die für meine Zwecke aber verzichtbar sind) am Ende nach 3 Monaten statt 9€ dann 38€ pro Monat. Na, da habe ich zum Glück noch rechtzeitig zugeschlagen und warte jetzt in aller Ruhe ab, wie sich die Preise weiter entwickeln. Im Moment wären selbst die 15€ nach den ersten zwei Jahren noch ein super Schnäppchenpreis, 9€ waren schon vor den Preiserhöhungen sehr günstig und im Licht der derzeitigen Situation nachgerade geschenkt.
Ich bin gespannt ob die sich da irgendwann rauswinden und dann doch wie hier bei netcup auch die Preise für bestehende Verträge erhöhen. Also 38€ pro Monat wäre jedenfalls ziemlich weit jenseits meiner Schmerzgrenze. Oder ob sie es machen wie das rote H (bisher) und die Bestandsverträge nicht antasten.
\O\V\H hat auch maechtig an der Preisschraube gedreht...
Es wird Zeit, dass die KI-Blase platzt, damit wieder Normalitaet einkehrt. 
\O\V\H hat auch maechtig an der Preisschraube gedreht...
Es wird Zeit, dass die KI-Blase platzt, damit wieder Normalitaet einkehrt.
So richtig platzen wird die Blase wohl nicht so bald. Sinnvolle Anwendungen für KI gibt es reichlich. Und wenn dadurch teure Mitarbeiter "freigesetzt" werden können, dann werden sich Unternehmen im Wettbewerb nicht leisten können, auf diese Einsparungen zu verzichten. Der Bedarf ist also jedenfalls gegeben. Die Frage ist dann allerdings, ob sich danach die ca 40 Millionen zu Kranken- und Altenpflegern umgeschulten Arbeitslosen sich deren Produkte dann noch werden leisten können - oder ob man einen Großteil der Einsparungen auf andere Weise wird abschöpfen müssen, um die Deutschland GmbH auch weiterhin noch halbwegs finanzieren zu können. Das dürfte allerdings wiederum schwierig werden im internationalen Wettbewerb mit anderen Staaten.
Eine Konsolidierung des KI-Markts erwarte ich schon. Allerdings bringt das die alten Hardwarepreise auch nicht zwingend zurück, letztlich ist es für die Hardwarepreise relativ egal, ob die Nachfrage von 100 kleinen oder von drei großen KI-Anbietern kommt. Das wird erst klappen, wenn die Hersteller ihre Kapazitäten entsprechend vergrößern und/oder der Hardware-Hunger der KI-Modelle deutlich verringert wird.
