Mehrere Abuse Hinweise

    Sehr geehrte Damen und Herren,

    ich bin verzweifelt und mittlerweile schon komplett hoffnungslos.

    Seit mehreren Tagen bin ich voller Abuse Hinweise, Support Anfragen und telefonischen Kontakt mit Netcup.

    Ich verstehe, dass das ärgerlich sowohl für sie als auch für mich ist!

    Ich suche durchgehend nach dem Fehler und behebe es und dann kommts wieder und ich lösche weiter und dann kommts wieder etc...

    Jetzt habe ich aber den letzten Abuse Hinweis bekommen, wo drin steht, dass alle meine Verträge bei dem nächsten Abuse Hinweis fristlos gekündigt werden.

    Ich habe in der Zwischenzeit einen Fachmann für die Thematik aber dennoch bin ich besorgt, dass im Falle, dass etwas vergessen wird mein kompletter Vertrag gekündigt wird.

    Ist meine letzte Chance tatsächlich jetzt schnell alles zu sichern und den Hoster zu wechseln?

    Wie sind eure Erfahrungen?

    Ich würde liebend gern bei Netcup bleiben, aber meine Existenz ist gerade massiv bedroht nach dieser Rückmeldung.

    Ich freue mich über konstruktive Meinungen und Hilfestellungen, vielleicht Erfahrungsberichte oder Ideen..

    Vielen Dank

    George S.

    Zitat von George95mb

    ...

    Ich suche durchgehend nach dem Fehler und behebe es und dann kommts wieder und ich lösche weiter und dann kommts wieder etc...

    ...

    Hast du konkret auch etwas gefunden und identifiziert...oder in voller Hoffnung einfach Sachen gelöscht? (ist nicht negativ gemeint!)

    Netcup handelt hier natürlich in meinen Augen absolut konform und ich werde auch gegenüber deinem Abuse absolut neutral bleiben.
    Keiner ist 100% davor gefeit, sich was einzufangen.

    Und "schnell alles sichern und umziehen" muss halt auch wohl überlegt und konkret sein....vor allem das "wie" und "mit was" (Nutzdaten,...).Sonst ziehst du mit der Seuche um.

    Also ich habe alle möglichen PHP (es geht nur um PHP) Dateien nach jedem möglichen Muster untersucht. Eval, Base64 etc. etc. die kompletten Inhalte gelöscht, die Datenbank bereinigt ..

    Jaaaa! Ich verstehe Netcup auch, deshalb will ich weiterhin hier bleiben. Die Frage ist nur wie kann ich sicherstellen, dass ich hier bleiben, ohne dass alle Webseiten offline gestellt werden.

    Wen du nur "infizierte" Dateien löschst, wird dir das wenig bringen, wenn du nicht die Backdoor dazu findest.

    Es wäre aber hilfreich, wenn du erstmal sagst, worum es geht, Server, Webhost?

    Einer? Mehrere?

    Hast du schon alle Passworte gewechselt? Nicht nur vom Dienst, sondern auch von den Verwaltungsoberflächen? Was ist mit 2FA? Email gehackt?

    Nen Server würde ich backuppen und komplett neu aufsetzen.

    Beim Webhosting auch ein Backup machen und von NC zurücksetzen lassen.

    Leider ist es meist so, dass sich ein einmal infiziertes System nicht so ohne weiteres manuell bereinigen lässt.

    Es gibt da so viele Möglichkeiten, wo sich etwas eingenistet kann, dass das eine Sisyphosarbeit ohne Garantie auf Erfolg ist, selbst für einen Profi.

    Auch das Einspielen eines Backups hilft da häufig nichts, denn das Problem kann durchaus auch schon da drin stecken. Angreifer lassen sich nach dem Einnisten oft Zeit, bis sie aktiv werden.

    In der Regel ist nur ein Weg erfolgversprechend: Komplettes Neuaufsetzen. Leider.

    Trotzdem zwei Hinweise:

    1) Momentan gibt es eine sehr aktuelle Schwachstelle, die seit kurzem massiv ausgenutzt wird:

    XMRig Miner auf Webhosting – wie Angriffsvektor finden? - netcup Kundenforum
    Hallo zusammen, ich habe heute eine Abuse-Meldung von Netcup erhalten – mein Webhosting-Account wurde wegen "schadhafter Stealth-Prozesse" gesperrt. Konkret…
    forum.netcup.de

    2) Unbedingt die cronjobs überprüfen. Nicht dass sich da was eingenistet hat.

    Danke für die Tipps! Ich habe nun mich mit dem Thema auseinandergesetzt und gemeinsam mit einem externen Dienstleister, der alle Instanzen prüft.

    Folgende Themen wurden angepasst:

    - Neues Webhosting gekauft und Stück für Stück Domains rübergebracht

    - Datenbanken komplett neu aufgesetzt, Zugangsdaten verändert

    - FTP Daten komplett verändert

    - Upload und Fopen komplett ausgeschaltet

    - SSH Zugang komplett verändert

    - CronJobs komplett gelöscht

    - Alle Dateien manuell geprüft, nach Base64, eval, etc. gesucht

    - Antivirus laufen lassen

    Ich hoffe nun, dass im Falle eines erneuten Angriffs nicht meine komplette Existenz von Netcup gelöscht wird..

    Danke für diesen wertvollen Austausch. Ein Grund mehr bei Netcup bleiben zu wollen :D

    Zitat von George95mb

    Neues Webhosting gekauft und Stück für Stück Domains rübergebracht

    Wenn bei Netcup, dann würd ich das auf nem neuen Kundenkonto machen.

    Ich finde das Vorgehn des Sperrens aller Kundenservices (auch der nicht annähernd betroffenen) auch ziemlich hmmm, "Subotimal".

    Zitat von webdesignheld

    PHP ist das erste was ich im webhosting deaktiviere und auf die VPS kommt es garnicht erst rauf.

    Das ist aber für die Mehrheit der Seitenbetreiber keine Option.

    Zitat von ASS

    Das ist aber für die Mehrheit der Seitenbetreiber keine Option.

    Zitat von webdesignheld

    es sei denn die Mehrheit betreibt ein CMS ohne ein CMS zu benötigen für das was die Seite leisten muss.

    Nun, es ist ja nicht immer nur eine einzelne Webseite auf dem Server.

    Wenn man z.B. eine dokuwiki betreibt (php) oder osTicket als Ticketsystem (php) oder auch z.B. Moodle (php), dann kommt man halt an php nicht vorbei.

    Und selbst wenn man nur eine einzelne Webseite hat, die theoretisch auch ohne CMS auskäme, werden die meisten der Einfachheit halber wohl eher zu Wordpress o.ä. greifen, statt sich in RubyOnRails einzuarbeiten.

    Das soll jetzt auch keine Wertung sein oder Werbung für php. Jeder nimmt halt das, was für ihn passt.