KRITISCH: Gehacktes Webhosting – Support reagiert nicht

    Wo hatten die Webmaster nun Probleme in den letzten 140 Posts:

    - konnten die Dateien nicht löschen (weil wiedergeneriert)
    - konnten Hack nicht ausfindig machen (weil mehrere Dateien, im RAM und unlesbar gemacht)

    Denke das könnte man mit den dargelegten Schritten erledigen.
    Bitte soll doch mal jemand gehackter probieren und wieder Feedback geben.

    Da hackuni aber aktuell nicht antwortet und somit der PHP Prozess weiter läuft hab ich es ein wenig anders gemacht und nun sind alle 11 Domains + Subdomains wieder sauber und im Grundzustand mit kleiner abgeänderter index.html (PS: Nur 4 Seiten waren betroffen)

    image.png

    Ich bin folgendermaßen Vorgegangen:
    Aufbau bei hackuni: /domain1.de/httpdocs | /domain2.de/httpdocs usw...

    1. Zugriff auf Hauptordner domain1.de nehmen (chmod 500 domain1.de/)
    Dadurch ist die Seite von außen nicht mehr erreichbar und zeigt den bekannten 403 - Forbidden an:
    image.png

    2. Jetzt wäre Zeit den PHP Prozess zu killen, da aber keiner da -> Warten wir eben das Timeout von dem PHP Prozess ab, da das eval() ja nicht von außen erneut aufgerufen werden kann.
    In dem aktuellen Fall habe ich die Rechte vom Ordner am Mittag genommen und jetzt gerade aufgeräumt. Da der Prozess mit der Shell und das Reinfizieren durch Timeout nicht mehr lief und ein erneuter Aufruf von außen nicht erfolgen kann, ging das relativ Problemlos.

    3. Reste kontrollieren und HTML Seite replacen
    Der letzte Schritt war eigentlich nur alles zu kontrollieren ob doch irgendwo noch was rumliegt, dann überall die index.html von Netcup mit leicht abgeänderten Text reinkopiert und dann die Rechte wieder ordentlich gesetzt. Nun kann der Kollege hackuni sich wieder ausbreiten in der Hoffung ohne weitere Infektionen aus alten Backups.

    Wichtig: Hier war ALLES leer, außer eben die Infektion. Deswegen auch relativ einfach zu bereinigen. Wenn man Daten retten muss, sollte vorab ein komplettes Backup gezogen werden. Was ich hier schade finde, dass der Wunsch einfach alles zu löschen des Kunden nicht nachgekommen wird - Natürlich nach Absicherung seitens Netcup sehe ich da eigentlich keine Probleme. Ohne die Hilfe denke ich wäre die Malware bis zur Kündigung auf dem Webspace liegen geblieben.

    Final: So und für die Spielkinder unter euch, natürlich hab ich ein Backup für euch zum Spielen
    Hier die Dateien zum spielen und gerne analysieren. Denn hier kann das eh jeder besser:
    Zip: Ohne Passwort damit man es hier anhängen kann
    7z: Passwort: "iknowwhatido"

    Viel Spaß und Gute Nacht und diesmal ohne KI, ich hoffe das ist euch nun lieber ;)

    Du hast das eh sehr gut gemacht! Nun auch mit deinen Schritten der Bereinigung um einiges wertvoller für den nächsten Hack.

    Zitat von ArtCore7

    Da hackuni aber aktuell nicht antwortet und somit der PHP Prozess weiter läuft hab ich es ein wenig anders gemacht und nun sind alle 11 Domains + Subdomains wieder sauber und im Grundzustand mit kleiner abgeänderter index.html (PS: Nur 4 Seiten waren betroffen)
    Viel Spaß und Gute Nacht und diesmal ohne KI, ich hoffe das ist euch nun lieber ;)

    Hat sich hackuni jemals wieder gemeldet?

    Als er Online war hat er sich gemeldet, aber so wichtig kann es ihm auch nicht sein. Seit Donnerstag wo ich ihm die Anleitung zum Deaktivieren von PHP geschickt habe kam nichts mehr und er war auch nicht mehr online.

    Ich hab das aber eher aus Eigeninteresse gemacht und mir das ganze mal anzuschauen. Wollte mir auch mal die Shell und den Double-SHA256 in Hashcat hauen. Aber da ich gerade Polnischen Urlaub (Hausrenovierung) habe dachte ich lass euch mit den Files spielen.

    Eine Webseite die der Kollege zur Verteilung verwendet ist ja schon offline, die andere lebt noch.