Hallo,
ich beobachte gerade, dass auf diversen Typo3 Installationen, wenn man sie mit Opera besucht auf http://www.ndparking.de/0xcbdf9f69.de weitergeleitet wird.
Beispiel wäre www.blueboxx.info.
TYPO3 4.0.6
rtehtmlarea 1.3.9
version 1.0.2
News tt_news 2.2.24
mf_pagetitle 1.0.0
csh_de 1.0.0
t3skin 0.0.1
Hat jemand etwas ähnliches?
Gruß
Lars
Ich habe das gerade bei der alten Kiste meines Vaters (Win 2000 - Opera 9.21 neu installiert) erlebt.
Lasse jatzt Adaware und Spybot laufen.
Ach ja, die Domain, die ich aufgerufen habe, läuft nicht unter Typo3. Aber auf unserem Server haben wir eine ganze Anzahl von Typos.
philophax schriebAch ja, die Domain, die ich aufgerufen habe, läuft nicht unter Typo3. Aber auf unserem Server haben wir eine ganze Anzahl von Typos.
Bei uns hat es tatsächlich auch die webs erwischt unter denen kein Typo3 läuft. Die "hacks" sehen aber identisch zu denen aus, die bei macina_banners aufgetaucht sind.
#62569
Deswegen habe ich Typo im Auge.
Zudem habe ich in der Newslist ein identisches Problem gefunden:
http://lists.netfielders.de/pipermail/typo3-ug-rhein-neckar/2007-June/000518.html
Wir haben mit zwei Admins den Server gecheckt und so recht nix gefunden. Kannst du mir ein pm schicken, was ihr auf dem Server für ein OS, MySQL, PHP und ggf. suPHP habt.
Gruss
Lars
Der fiese Möpp kam anscheinend tatsächlich über die machina_banner rein und hat auch reine HTML-Seiten infiziert.
ich hab meinem Admin Deine Frage gemailt - ich kann darauf mangels Wissen nicht antworten 🙂
Gefunden haben wir auch sowas: document.write('\u003c\u0069\u0066.....
Und natürlich <iframe src=http://0xcbdf9f69/libraries/....
Alles im Quelltext ganz unten mit einer Menge von Leerzeilen und auch Leerzeichen davor! Mit Ctrl-A aber gut zu finden.
Wir haben unsere Typos abgeschaltet, entwanzen die HTMLs und sehen mal, ob was wiederkommt (auf den statischen Seiten).
Wenn nein, werden die Typos nach und nach wieder angeschaltet.
Sch...
Hallo,
bitte neue Details zu dem Problem und Erkenntnisse aus Analysen der Logfiles an das TYPO3 Security Team weiterleiten: http://typo3.org/teams/security/contact-us
Danke!
Viele Grüße
hepi
Hi all,
auch für diesen Thread noch mal der folgende Querverweis:
Auf typo3.org gibt es inzwischen eine Zusammenfassung der Erkenntnisse des TYPO3 Security Teams zu diesen Angriffen, nämlich unter
http://buzz.typo3.org/teams/security/article/massive-web-server-hacks-iframe-attacks-now-extended-to-typo3/
(deutsch unter
http://www.naw.info/blogs/typo3security/2007/07/03/angriffswelle-gegen-webserver-iframe-attacken-nun-auch-typo3)
greets
/Ekki
__________________
Ekkehard Gümbel
naw.info net&works Internet Services GmbH, Hannover
http://www.naw.info
@ekki
Die Links sind sehr gut und besser kann ich es nicht zusammenfassen.
@philophax
Die Javascripts sind teilweise auch in den page-titeln, in javascripts der im typo3temp oder - mein favorit - in der localconf.php.
Wie es sein kann, dass auch beliebige andere Kundenwebs betroffen sind, haben wir auch soweit rausgefunden. Am besten kurz eine PM oder direkt beim Typo3 Security Team nachfragen.
@all
Wir konnten beobachten, dass sich über macina_banners oder einen alten RTE im FE-Bereich "Zutritt" verschafft wird. Einmal als Admin User drin, legt er sein Shells ab. Teilweise png oder mp3 Dateien via htaccess zum parsen freigegeben, so dass es durchaus sein kann, dass ein png /typo3temp/GB/f4f482a7ea.png in Wirklichkeit die Shell ist.
Durch die Shell sind dann logischerweise auch die Datenbanken offen und der einzige den freuen würde wäre Schäuble.
Desinfektion ist tatsächlich nicht so einfach und wir haben es folgendermaßen gemacht:
1. Shells suchen, finden & entfernen
2. Lücken in Typo3 schließen (macina banners, alte RTEs, was auch immer)
3. alle Admin Passwörter in MySQL auf dem Server ändern
4. offensichtliche Fehler auf den Einzelseiten beseitigen (disinfect)
Die Reihenfolge bleibt jedem selbst überlassen. Zudem haben wir alle mysql bewegungen und alle post wie gets geloggt.
Gruss
Lars
