Code-Injection seit ein paar Tagen

Floater · 2011-04-21T17:27:49+00:00

Hallo, seit ein paar Tagen werden in meiner Typo3-Installation HTML-Dateien verändert. Und zwar in der Form, dass am Ende der Dateien HTML-Codes wie z. B. oder angehängt werden. Meine Typo4-Version ist 4.4.7. Das gleiche passiert bei der Typo3-Installation eines Freundes mit der Version 4.5.2. Bei Google habe ich noch nicht soviel darüber gefunden. In einem Forum schreibt jemand, dass er dieses Problem in seiner XT-Commerce-Installation hat. Ich hatte Ordner- und Dateirechte anders gesetzt, Typo3 neu installiert. Leider ohne Erfolg. Ist hier bei jemandem auch dieses Problem aufgetreten? Kennt jemand eine Lösung? Gruß, Floater

igorshmigor · 22. April 2011 20:39

Aber Du hattest doch geschrieben, dass das Problem bei einem Freund auch unter 4.5.2 auftrat.

Floater · 23. April 2011 15:03

igorshmigor schrieb
Aber Du hattest doch geschrieben, dass das Problem bei einem Freund auch unter 4.5.2 auftrat.

Hallo,

dass das Problem bei einem Freund unter 4.5.2 auftrat, lag wohl eher daran, dass die Code-Injection schon unter einer älteren Version von 4.4.* aufgetreten sein muss und somit die HTML-Dateien unter 4.5.2 noch infiziert waren. Nachdem er unter die 4.5.2 die Coder-Bereinigung durchgeführt hat, trat das Problem nicht mehr auf.

Gruß,
Floater

igorshmigor · 23. April 2011 16:28

Heißt das, dem Hacker ist es gelungen, die original HTML-Template Dateien zu modifizieren?

Floater · 23. April 2011 16:36

igorshmigor schrieb
Heißt das, dem Hacker ist es gelungen, die original HTML-Template Dateien zu modifizieren?

Hallo,

genau DAS heißt es.
Davon waren ALLE HTML-Dateien betroffen, die in der Installation existierten, also z.B. in den Ordnern und Unterordnern von "fileadmin", "typo3conf"...

Gruß,
Floater

Floater · 23. April 2011 16:40

Ich hatte dann das Update auf 4.5.2 gemacht, alle Extensions neu installiert und dann meine html-Templates korrigiert.

Floater · 24. April 2011 03:11

So eben habe ich auch in meiner Typo3-Version 4.5.2 in allen html-Dateien die o. g. Code-Injection vorgefunden.... :-(

igorshmigor · 24. April 2011 19:59

Das wundert mich nicht. Wenn der Angreifer Dokumente modifizieren kann, hat er möglicherweise FTP-Zugriff, kennt das Install-Tool oder Admin-Passwort oder kann per Shell auf die Dokumente zugreifen.
Ist Dein Freund auf dem gleichen Server oder beim selben Provider? Möglicherweise ist der Server unsicher.
Ich würde übrigens zur Sicherheit alle Passwörter ändern: FTP, Admin, Install-Tool, Datenbank-User.

Floater · 25. April 2011 01:39

hallo,

da gebe ich dir irgendwie recht.
nur habe ich während des befalls immer wieder alle zugangsdaten geändert (DB, Instant Tool, Typo3-BE, FTP).

:-(

Gruß,
Floater

jenses · 27. April 2011 09:53

Floater schrieb
da gebe ich dir irgendwie recht.
nur habe ich während des befalls immer wieder alle zugangsdaten geändert (DB, Instant Tool, Typo3-BE, FTP).

Hast du deinen lokalen Rechner, von dem aus du FTP-Zugangsdaten usw. geändert hast, auf Schädlingsbefall untersucht?
Könnte ja sein, daß ein Trojaner auf deinem Rechner alle Änderungen direkt an seinen Auftraggeber mitteilt.
So etwas ist beispielsweise Anfang letzten Jahres gehäuft vorgekommen, wenn man die Zugangsdaten innerhalb des FTP-Programmes (WinFTP?) abgespeichert hatte, daß ist ja soo bequem...

Floater · 27. April 2011 10:01

Hallo,

ich habe meinen PC überprüft. Da wurde nichts gefunden.
Aber folgendes war mir aufgefallen: In meinem Browser war die "DVDVideoSoft"-Toolbar installiert. Irgendwo habe ich schon mal gelesen, dass diese Toolbar schädlich sein soll. /Nur Frage ich mich dann, warum die nicht bei meinem Suchlauf erkannt worden ist...)
Diese habe ich sofort deinstalliert.
Anschliessend die infizierten Dateien bereinigt und alle Passwörter geändert.
Ich hatte auch meine Typo3-Passwörter im Browser gespeichert. Die habe ich dort entfernt.
Bisher - seit drei Tagen - hat keine Code-Injection mehr statt gefunden.

Gruß

Floater · 10. Mai 2011 02:34

Hallo,

in meiner Typo3-Installation hatte ich auch einen Wordpress-Blog installiert.

Nachdem ich den Wordpress-Blog vor ca. 2 Wochen entfernt habe, sind keine Dateien mehr infiziert worden.

Gruß,
Floater