Zumindest das sollte aber nicht der Fall sein.
Da wird doch sicher nicht der Emailempfang gesperrt und wenn, dann nur mit einem temporären Fehler, sodass die Mails nachträglich eingehen.
Ausgehende E-Mails wurden definitiv blockiert, eingehende E-Mails – ich weiß nicht, wie lange der sendende Server es weiter versuchen wird. Das Konto wurde gegen 13:00 Uhr gesperrt, und um 4:00 Uhr nachts habe ich eine Reserve-E-Mail eingerichtet, also mehr als 12 Stunden.
Das beruhigt mich. Ich hatte Gerüchte im Kopf, dass bei Abuse alle Produkte eines Accounts gesperrt werden würden.
Also nochmal um ganz sicher zu sein:
Du hast in deinem Account Vserver und mehrere Webhostings, aber nur das eine Webhosting das die Abuse Meldung hat, wurde gesperrt und alle anderen Dienste sind weiterhin in Funktion?
Das wurde bisher nie zuverlässig geklärt...
Ja, genau.
Ich habe das Gefühl, dass meine Sperrung mit einem dummen Sicherheitsscanner zu tun hatte und niemand zugeben will, dass er einen Fehler gemacht hat. Anstatt meine Fragen zu beantworten, haben die einfach mein Konto entsperrt. Ich habe auch die letzte Logs überprüft, aber da ist nichts Verdächtiges aufgefallen.
Ich bin froh, dass ich Netcup nicht für die Verwaltung meiner Domains verwendet habe – zumindest konnte ich sie gestern auf andere Server umleiten, aber trotzdem hat ein Tag Ausfallzeit eine Menge Ärger verursacht – zum Beispiel konnte eine Tierklinik ihr internes System nicht nutzen, ein Restaurant konnte keine Reservierungen entgegennehmen und natürlich gingen viele E-Mails verloren.
Ich kann nur empfehlen, Backups und Domains außerhalb von Netcup zu verwalten.
Eine Frage die dir nicht hilft und auch nicht mit deinem Thema zu tun hat:
Hast du außer diesem Webhostingkonto noch weitere Produkte in deinem Account? Weitere Webhostings? Weitere Vserver? Wenn ja, sind diese ebenfalls gesperrt worden, oder nur das eine Webhosting das betroffen ist?
Nur das Webhosting. Der Vserver war noch verfügbar, aber ich konnte mich nicht bei Cpanel anmelden, da auch die E-Mail-Funktion blockiert war und ich daher den Anmeldecode nicht erhalten habe.
Wie hast du das getan, ohne alles zu löschen und das ganze System neu aufzusetzen?
Wieso bist du dir sicher, dass nicht eine Backdoor von damals jetzt aktiv wurde?
Nun, es könnte sein, dass dort irgendwo etwas ist, obwohl der Wordpress Integrity File Checker von Plesk anzeigt, dass die Integrität in Ordnung ist und alle Websites sicher und auf dem neuesten Stand sind.
Das ist doch aber eine reguläre Datei sagst du - dann müssten ja alle Wordpress Site accounts geschlossen werden wenn die so vorgehen oder? und wieso sind kompromittierte Dateien im Trash (auch nur ein Ordner?) ...
Nicht jeder nutzt die Wordpress-Docker-Einrichtung und synchronisiert Dateien mit dem Webhosting.
Ich habe nach Wartungszeitfenster von 11:10 bis 13:10 gefragt, die haben aber mein Konto noch vor dem Zeitfenster entsperrt. Ganz ohne Kommentare, ohne Antworten auf meine Fragen. Was soll ich jetzt tun? Alle Websites bestehen weiterhin die Integritätsprüfungen.
Gestern habe ich eine E-Mail erhalten, dass meine Websites missbräuchlich genutzt werden. Mein gesamtes Webhosting-Konto mit 13 Websites und E-Mails wurde gesperrt.
Als ich versuchte, das Abuse-Team zu kontaktieren, hatte ich das Gefühl, dass mir ein Roboter antwortete, der meine Fragen nicht wirklich beantwortete, sondern nur vorgefertigte Antworten kopierte und einfügte. Ich soll einen Zeitrahmen von zwei Stunden für die Reparatur beantragen, aber das Problem ist, dass mir bisher nur folgende Informationen gegeben wurden:
========== Abusemeldung / Abuse report ==========
/var/www/vhosts/hostingXXXX.aeXXX.netcup.net/xxxxxxx.de/httpdocs/wp-admin
wp-config-docker.php:122: eval($configExtra);
Mit freundlichen Grüßen
Ihr netcup TeamAus der obigen Nachricht schließe ich, dass es eine kompromittierte Datei wp-config-docker.php im Ordner wp-admin geben muss.
Das Problem ist, dass dies nicht stimmt. Es gibt keine solche Datei in wp-admin. Diese Datei befindet sich im WordPress-Stammverzeichnis und ist eine echte Datei aus den Wordpress-Docker Installation.
Das Einzige, was mir einfällt, ist, dass ich noch einige kompromittierte Dateien im Ordner .Trash habe, die von dem letzten Hackerangriff auf Wordpress vor einigen Monaten stammen. Seitdem habe ich jedoch für maximale Sicherheit gesorgt – alle Passwörter wurden geändert, 2-Factor-Authentication eingeschaltet, automatische Updates für Wordpress aktiviert und die Dateiintegrität überprüft.
Wisst ihr, ob es möglich ist, irgendwie den wahren Grund für die Sperrung meines Kontos herauszufinden?
Oder ist es wirklich möglich, dass sie mein Konto gesperrt haben, weil sie einfach eine Datei mit der eval()-Funktion darin gefunden haben?
Um sich auf dem (kompromittierten) Server einloggen zu können, würde man (bzw. der Angreifer) den privaten Schlüssel ja lokal bei sich vorhalten und nicht auf dem komprimittierten Server selbst. Dort müsste hingegen der zugehörige öffentliche Schlüssel in der Datei .ssh/authorized_keys eingetragen werden.
Deswegen hatte ich in #14 mal angeregt, den öffentlichen Schlüssel anzuschauen und auch mal die Zeitstempel der beiden Dateien zu betrachten. Vielleicht kommt man ja so drauf, wer wann diese Dateien erzeugt hat. Und auch ein Blick in die Datei .ssh/authorized_keys kann nicht schaden.
Heute wurden sie erneut geändert. Es gibt keine Kommentare, nichts Interessantes darin. Die Datei .ssh/authorized_keys ist nicht vorhanden.
Jetzt frage ich mich, ob sie tatsächlich Teil von Plesk selbst sind. Vielleicht werden sie für die Backups benötigt, da diese auf einem separaten Server durchgeführt werden?
Eine andere Möglichkeit wäre, dass Hacker meinen Server als Proxy nutzen, um regionale Beschränkungen zu umgehen oder ihre Spuren zu verwischen, aber da ich gestern die SSH-Shell komplett deaktiviert habe, sollte dies nicht der Fall sein.
was hast dufür ein hostingpaket?
Ich hab Webhosting 4000 NUE BSS24
wieso schreibst du geändert und das skript meldet new - hattest du keine keys?
Ja, tatsächlich hatte ich selbst keine Key-Authentifizierung eingerichtet.
Gestern habe ich alles aus dem Backup wiederhergestellt, die Prüfsummen aller WordPress-Domains überprüft, alle Passwörter geändert, mit Cloudflare den Zugriff nur aus der EU erlaubt und ein Skript geschrieben, das jede Änderung im Dateisystem überwacht und mir heimlich eine Benachrichtigung schickt. Heute Morgen habe ich eine Benachrichtigung erhalten, dass zwei Dateien geändert wurden:
🔍 File Integrity Alert
File System Changes Detected
🆕 New Files: 2
• .ssh/id_rsa
• .ssh/id_rsa.pubEs scheint, als hätten sie immer noch Zugriff auf Plesk. Ich weiß nicht, wie sie hineingekommen sind, ich habe überall eine Zwei-Faktor-Authentifizierung.
Ich sehe auch, dass er es geschafft hat, Zugriff auf das Root-Terminal zu erhalten. Dieses Skript versucht, einen Krypto-Miner auszuführen. Das Lustige daran ist, dass seine Krypto-Wallet-ID fest im Skript hinterlegt ist.
Sie sind alle in einem Hosting-Paket, aber sie sollten doch nicht aufeinander zugreifen können, oder verstehe ich das falsch?
Heute habe ich eine Nachricht von Google Console erhalten, dass sich jemand als Eigentümer meiner Domains registriert hat.
Er hat dies getan, indem er eine Google-Verifizierungs-HTML-Datei auf mein Hosting hochgeladen hat. Zunächst dachte ich – okay, das muss ein anfälliges WordPress-Plugin sein, aber nachdem ich mich näher damit befasst habe, stellte sich heraus, dass er es geschafft hat, alle meine Domains zu infizieren, darunter auch einige, die nur eine standard HTML-Datei enthielten.
Das bedeutet, dass der Hacker aus dem Chroot-Jail ausbrechen konnte. Ich kann es nicht anders erklären. Leider muss dies auf Hosting-Ebene behoben werden.
Ich sehe, dass die Redis- Extension in PHP aktiviert ist, aber wie kann ich sie nutzen? Ich brauche entweder einen Pfad zur Sock-Datei oder Redis-Server-Anmeldeinformationen. Ich habe Webhosting 4000 Paket.
Ich benutze Webhosting 4000.
Ich habe mich gefragt, ob es möglich ist, die externe Domain so einzurichten, dass sie alles unter *.domain.com akzeptiert.
Ich weiß, dass dies mit den Domains von Netcup möglich ist, aber wie sieht es mit externen Domains aus?
Hello!
I am considering buying the Webhosting 4000, it is not entirely clear what happens with my existing domains -
1) do I need to migrate them to Netcup or can I just change the Nameservers?
2) They are registered on me for the next 10 years, do I need to pay for them again if I migrate them to Netcup?
3) I also have bunch of .lv domains, is it not possible to use it with the Netcup Webhosting?
4) Can I somehow also register .cafe and .restaurant domains with that Webhosting?
Thank you for the answers in advance!