Mein Hosting wurde gehackt, alle Domains sind betroffen.

    Um sich auf dem (kompromittierten) Server einloggen zu können, würde man (bzw. der Angreifer) den privaten Schlüssel ja lokal bei sich vorhalten und nicht auf dem komprimittierten Server selbst. Dort müsste hingegen der zugehörige öffentliche Schlüssel in der Datei .ssh/authorized_keys eingetragen werden.

    Deswegen hatte ich in #14 mal angeregt, den öffentlichen Schlüssel anzuschauen und auch mal die Zeitstempel der beiden Dateien zu betrachten. Vielleicht kommt man ja so drauf, wer wann diese Dateien erzeugt hat. Und auch ein Blick in die Datei .ssh/authorized_keys kann nicht schaden.

    Zitat von KBDigital

    Heute habe ich eine Nachricht von Google Console erhalten, dass sich jemand als Eigentümer meiner Domains registriert hat.

    Er hat dies getan, indem er eine Google-Verifizierungs-HTML-Datei auf mein Hosting hochgeladen hat.

    Unabhängig von der Bereinigung des Webhostings stelle ich mir die Frage ob man nicht auch Google einschalten kann?

    Ich selbst nutze keine Google-Dienste in Verbindung mit eigenen Seiten, aber es gibt ja scheinbar Kontaktmöglichkeiten hier und hier.

    Mit etwas Glück sperrt Google den Account des Angreifers. Das bringt Dir zwar erstmal nichts, erschwert ihm aber seine Handlungen (vielleicht hat er unterschiedliche Opfer unter einem einzelnen Account bei Google registriert).

    Dass Du bereits im Webhosting aktiv geworden bist, hat er ja vermutlich schon bemerkt.

    Zitat von Zierleiste

    Um sich auf dem (kompromittierten) Server einloggen zu können, würde man (bzw. der Angreifer) den privaten Schlüssel ja lokal bei sich vorhalten und nicht auf dem komprimittierten Server selbst. Dort müsste hingegen der zugehörige öffentliche Schlüssel in der Datei .ssh/authorized_keys eingetragen werden.

    Deswegen hatte ich in #14 mal angeregt, den öffentlichen Schlüssel anzuschauen und auch mal die Zeitstempel der beiden Dateien zu betrachten. Vielleicht kommt man ja so drauf, wer wann diese Dateien erzeugt hat. Und auch ein Blick in die Datei .ssh/authorized_keys kann nicht schaden.

    Heute wurden sie erneut geändert. Es gibt keine Kommentare, nichts Interessantes darin. Die Datei .ssh/authorized_keys ist nicht vorhanden.

    Jetzt frage ich mich, ob sie tatsächlich Teil von Plesk selbst sind. Vielleicht werden sie für die Backups benötigt, da diese auf einem separaten Server durchgeführt werden?

    Eine andere Möglichkeit wäre, dass Hacker meinen Server als Proxy nutzen, um regionale Beschränkungen zu umgehen oder ihre Spuren zu verwischen, aber da ich gestern die SSH-Shell komplett deaktiviert habe, sollte dies nicht der Fall sein.

    Die einzige Verwendung für Schlüssel auf deinem Server, wäre wenn dieser sich bei einem anderen Server anmeldet, um dort Befehle abzuholen. Das würde z.B. eingehende Firewall Regeln umgehen. Aber warum man das ausgerechnet per SSH machen sollte, erschließt sich mir nicht - normales HTTP sollte da genausogut ausreichen.

    Zitat von KBDigital

    Jetzt frage ich mich, ob sie tatsächlich Teil von Plesk selbst sind. Vielleicht werden sie für die Backups benötigt, da diese auf einem separaten Server durchgeführt werden?

    Plesk kann wohl per SFTP Backups erstellen und dafür werden möglicherweise SSH-Keys benötigt. Ich benutze Plesk selber nicht, aber vielleicht ist das ein guter Ansatzpunkt. Wann werden denn Backpus erstellt, passt das vielleicht von den Zeitstempeln her? Kann man auf dem Backup-Server selbst zugreifen und recherchieren?

    Die id_rsa und id_rsa.pub wurden von Plesk erzeugt.

    Sie werden erzeugt, sobald man in Plesk (WCP) bei einer Domain auf GIT klickt.

    Eventuell merkt sich das WCP das ja falls du da mal drauf geklickt hattest und erstellt sie neu, nachdem sie gelöscht wurden.