Vorneweg: Das muss ich einfach bloggen, tut mir leid… 😉

Letzten Dienstag habe ich durch Zufall im größten Stress entdeckt, dass eine meiner alten Seiten (justpowder.de) gehackt worden war. Nach den schnellen Erste Hilfe Maßnahmen machten sich langsam Rachegelüste breit. Denn was kann man schon tun?
Aber Eins nach dem Anderen – hier die komplette Story:

Was ist denn passiert?
Letzten Dienstag hatte ich die Ehre für die TYPO3 Usergroup München einen kleinen SEO Vortrag zu halten. Da ich in der Regel so lange ein Motivationsproblem habe, bis daraus ein Zeitproblem wird, begann ich „bereits“ Dienstag Mittag, in aller Hektik ein paar Powerpoint Slides für den Vortrag anzufertigen.
Nur aus Versehen klickte ich in meinen Favoriten im Firefox auf einen Link zu eine meiner alten Seiten (justpowder.de). Früher konnte man hier noch in einem commerce Shop Ski- und Snowboard Accessoires erwerben.
Als ich noch fluchend versuchte, die Escape Taste zu drücken, bevor die falsche Seite komplett geladen wurde, wehte mir bereits ein „Als attackierend gemeldete Website“ Banner entgegen.

Nach gefühlten 100 Mal Klicken auf den Button „Warnung ignorieren“, wurde ich auf die gewünschte Seite geleitet. Ein kurzer Blick in den HTML Code zeigte ein nettes iframe, das über JS am Ende der Seite hinzugefügt wurde.
Nach einer kurzen anfänglichen Lähmung („Das kann doch nicht wahr sein…“) entschloss ich mich, die Domain auf einpraegsam.net umzuleiten, bis ich für dieses Problem mehr Zeit haben würde. Der Shop auf justpowder war sowieso stillgelegt – ich hatte die Seite nur noch nicht komplett abgeschaltet, weil ich hier mal sehr viel Zeit investiert hatte (ihr kennt sicher alle diese Wehmut…).

Was habe ich nach der Entdeckung getan?
Wie bereits erwähnt, verhinderte ich zu allererst das Ausliefern der Seite, indem ich die Domain umleitete. Das würde ich auch anderen empfehlen, die ein ähnliches Problem haben.
Mein nächster Gedanke: Ich brauche Hilfe von den Server-Profis! Ich habe mich also gleich bei 1und1 eingeloggt, in den Adminbereich meines Manged Servers. Dort gibt es auch irgendwo tief versteckt eine Möglichkeit mit dem Support Team Kontakt aufzunehmen: In diesem Sinne Problem geschildert und Nachricht abgeschickt.
Zwei Tage (!) nach der unglaublichen Entdeckung kam auch schon die hilfreiche Antwort von den „Internet Experten“: „Halten Sie Ihre PHP Anwendungen immer aktuell, ansonsten können Sie sich ja die Logfiles anschauen…“.
Naja, mit allzu großer Hilfsbereitschaft hatte ich ohnehin nicht gerechnet und machte mich somit gleich selbst an’s Werk.

Wie konnte ich den Angreifer isolieren?
Ich hatte mir einen Teil des fremden Codes in die Zwischenablage kopiert und dann über Shellzugriff nach Dateien mit diesem Code gesucht: Nahezu alle index.* Dateien waren befallen. Interessant war das Änderungsdatum einer dieser Dateien. Das gab mir Aufschluss auf die Angriffszeit.
Danach sah ich mir das normale Logfile des Servers an. Zur gemerkten Zeit gab es keine außergewöhnlichen GET oder POST Anfragen an den Server.
Bereits halb entmutigt sah ich mir auch noch das Logfile der FTP Zugriffe an und hier wurde ich fündig: Ein extra eingerichteter FTP Zugang wurde zu dieser Zeit genutzt um einige Dateien zu modifizieren. Nun hatte ich auch die IP Adresse des Angreifers (diese wird im Logfile gespeichert). Laut ip locator sitzt der Angreifer übrigens im kühlen Minnesota in den USA.
Natürlich sperrte ich den betroffenen FTP Zugang umgehend.

Rachegelüste?
Klar hätte ich die Geschichte auf sich beruhen lassen können, aber da war noch irgendetwas. Irgendetwas das sich zur Wehr setzen wollte. Wer mir an dieser Stelle erzählen will, er hätte nicht die geringsten Rachegelüste gehabt, müsste schon Pfarrer der katholischen Kirche sein.
Ich hatte das Gefühl, dass ich etwas tun musste – egal was. Nun muss man wissen, dass ich hier im tiefsten Oberbayern ca. 60km entfernt von München wohne: Beim Anruf auf dem nächsten Polizeirevier sagte mir eine unmotivierte Stimme, dass ich doch jederzeit vorbeikommen könne. Mit meinem iPhone und dem Logfile sowie der IP Adresse des Kollegen aus Amerika im Gepack fuhr ich also zum Polizeipräsidium Ebersberg.

Nachdem ich meine Geschichte am Empfang kurz angerissen hatte, erklärte mir der Polizist am Empfang, dass ich mich so lange gedulden müsse, bis ein fähiger Kollege (mit Computerschulung) zu mir käme. So lange dürfe ich auf einem Stuhl im Empfangsbereich Platz nehmen.
Nach ca. 10 Minuten holte mich ein weiterer Polizist (vermutlich Mitte 50) von meinem Platz ab und führte mich in sein Büro. Ein weiterer Kollege war mit „Computer-Tipp-Arbeit“ beschäftigt.
An dieser Stelle fällt mir eine Situationsbeschreibung sehr schwer; ich selbst schwankte während meinen Ausführungen zwischen Hilflosigkeit, Resignation, Wut und Schmunzeln: Nachdem ich 10 Minuten vergebens versucht hatte, zu erklären, dass es sich bei meinem Problem nicht um einen Virus auf meinem Computer zu Hause handelt, den ich mir irgendwo eingefangen hatte, wollte man mich mit einem „Es ist doch kein Schaden entstanden“ abspeisen. Meine Hartnäckigkeit führte jedoch zu einem Telefonat mit einem „It-ler“ aus einem anderen Präsidium und ab diesem Zeitpunkt kam etwas mehr Licht in die Sache. Ich durfte sogar selbst mit diesem netten Herren telefonieren, und was soll ich sagen, wir sprachen die gleiche Sprache 😉
Im Anschluss nahm der erste Beamte meine „Anzeige gegen Unbekannt“ auf und ich bildete mir ein, dass er zum Schluss verstanden hatte, was das Problem war.
Mit einem guten Gefühl konnte ich nach einer Stunde das Präsidium verlassen, auch wenn der Ausgang dieser Geschichte noch offen ist…

Was werde ich als nächstes tun?
Als nächstes sind alle befallenen Dateien zu säubern und die Seite wieder online zu bringen. Dann muss ich Firefox und Google noch beibringen, dass die Webseite keinen Schadcode mehr ausliefert…
Übrigens habe ich beschlossen, dass ich die FTP Zugänge künftig besser verwalten werde: Benutzernamen werden kryptischer, nicht genutzte Benutzer werden entfernt, bestehende FTP Zugänge werden auf das Nötigste begrenzt.

To be continued…
Wie geht es jetzt weiter? Das LKA sollte sich in den nächsten Tagen bei mir melden und das Logfile einfordern – ich bin gespannt…
Ich bin mir übrigens nicht sicher, ob die amerikanischen Behörden sich für derlei deutsche Anliegen interessieren, aber ich hoffe es wirklich. Wer austeilen kann, muss auch einstecken können!

Was meint ihr zu dieser Geschichte?

Links zum Thema

• Webseite gehackt, so gehts weiter
• Was tun nach einem Hack

Wünsche euch ein schönes und hackerfreies Wochenende,
Alex