Blog gehackt

FuGu

Ich nutze die aktuellste WP Version und bin heute nachmittag aufmerksam geworden, weil ich eine Mail erhalten habe, dass jemand für meinen Account eine Passwortrücksetzung angefordert hat.
Als ich mich selber einloggen wollte ging dies nicht. Erst nachdem ich das PW erneut zurückgesetzt habe konnte ich mich wieder einloggen.

Über das Dashboard konnte ich nachvollziehen, dass mein Blog über diese Seite aufgerufen wurde:
http://www.zone-h.com/mirror/id/18391336
Da läßt sich dann auch eben erkennen, dass sie ABOUT Seite umgeschrieben wurde.
Mit dem was da geschrieben wurde kann ich so nix anfangen. Wäre nett, wenn einer mal einen Blick darauf werfen könnte und mir erläutert wie der Sacktreter über das Passwortrücksetzen in das Blog gelangt ist.

Hier der Inhalt:

Code

<!-- saved from url=(0044)http://13-uhr-club.twistringen.de/orion.html -->
<span style="color: #ff0000;">++JebriL HacK3Rs ++</span>


&nbsp;


<span style="color: #ff0000;"><script type="text/javascript" language="JavaScript">// < ![CDATA[
function SymError() {   return true; } window.onerror = SymError;
// ]]></script></span>


<span style="color: #ff0000;"><!--[if IE ]>


<style type=text/css>BODY {


OVERFLOW: hidden


}


v\:* {


BEHAVIOR: url(#default#VML)


}


</style>


< ![endif]--></span>


<span style="color: #ff0000;"><script type="text/javascript" language="Javascript">// < ![CDATA[
var tl=new Array(


"=======================",
"connect to login database...",


"connected....",


"=======================",


"Login    :  JebriL        ok",


"Password :  *********    ok",


"=======================",


" Wait, Connecting ....",


" Conected oK + + +",


"=======================",


"Upload deface...",


"20%",


"40%",


"60%",


"80%",


"Deface uploaded.",


"=======================",


"exec   cat/etc/defaceinfo.txt",


"    Show text",


"    text:",


"",


"    Defaced by: JebriL H4ck3r",


"###########################################",  
"    There is no security on this earth; there is only opportunity....",


" ###########################################",
" #",


" #    Secure your website next time ",


" #",


" #    SiTe: not available ",


" #",


" #    Don't Hate me , Hate Ur security ",


" #",
" ###########################################",
" #",


" #    What should I Do?:",


" #",


" #    Your website was hacked due to security vulnerabilities. Contact w-c@hotmail.es.",


" #",


" #",
" ###########################################",
" #",


" # DONT FORGET JebriL WAS HERE ;) ",


" #",


" # Greetz to: 5fash hacker  HaCkEr22 | shano | Dr.Ghost | ALMRRY-HAC | X-C0d3 |",


" #",


" ###########################################",
" #",


" # logout....",


" #",


" # logout complete....",


" #",
" ###########################################",


" "


);


var speed=50;


var index=0; text_pos=0;


var str_length=tl[0].length;


var contents, row;


function type_text()


{


  contents='';


  row=Math.max(0,index-20);


  while(row<index)     contents += tl[row++] + '\r\n';   document.forms[0].elements[0].value = contents + tl[index].substring(0,text_pos) + "_";   if(text_pos++==str_length)   {     text_pos=0;     index++;     if(index!=tl.length)     {       str_length=tl[index].length;       setTimeout("type_text()",500);     }   } else     setTimeout("type_text()",speed); }
// ]]></script></span>


&nbsp;


&nbsp;


&nbsp;
<p align="center"><span style="color: #ff0000;"><span style="font-family: Webdings; font-size: xx-large;">!</span><span style="font-family: Webdings; font-size: xx-large;">!</span></span></p>


<span class="footerlink" style="color: #ff0000;"> JebriL Has arr!v3d</span>


<span style="color: #ff0000;"> <span style="font-family: Webdings; font-size: xx-large;">!</span><span style="font-family: Webdings; font-size: xx-large;">!</span></span>
<div id="Container">
<table border="0" cellspacing="0" cellpadding="0" align="center">
<tbody>
<tr>
<td colspan="3" height="303">
<table width="680" border="0" cellspacing="0" cellpadding="5">
<tbody>
<tr>
<td width="670" height="700">
<p align="center"><span style="font-family: Georgia; color: #ff0000;"><strong><span style="font-size: xx-large;">L3B4N0N</span></strong>
<strong><span style="font-size: x-large;">H4cK3r</span></strong></span></p>
<p align="center"><span style="color: #ff0000;"><img src="http://www.m5zn.com/uploads3/2012/5/2/photo/050212230501x0jusrvh5cwnqzowlso.bmp" alt="" width="680" height="499" border="0" /> </span></p>


<h2 align="center"></h2>
&nbsp;


&nbsp;


<form><span style="color: #ff0000; font-family: Impact;"><span style="font-family: Impact;">
<textarea name="S1" rows="25" cols="92"></textarea></span></span>&nbsp;


</form>&nbsp;</td>
</tr>
<tr align="middle">
<td width="670" height="19"><span style="color: #ff0000;"> </span></td>
</tr>
<tr>
<td><center><span style="color: #ff0000;"><span style="font-family: 'Trebuchet MS'; font-size: medium;"><span style="font-family: 'Trebuchet MS'; font-size: medium;">
</span></span></span></center>&nbsp;
<p id="message"><span style="color: #ff0000;"><span style="font-family: 'Trebuchet MS'; font-size: medium;"><span style="font-family: 'Trebuchet MS'; font-size: medium;">-HackeD bY
JebriL -
</span></span></span></p>
&nbsp;
<p id="message"><span style="color: #ff0000;"><span style="font-family: 'Trebuchet MS'; font-size: medium;"><span style="font-family: 'Trebuchet MS'; font-size: medium;"> W-c@hotmail.es
</span></span></span></p>
<span style="color: #ff0000; font-family: 'Trebuchet MS'; font-size: small;">______________________________________________ </span>


&nbsp;


<span style="color: #ff0000;"> I'll Back ;)
</span>


<span style="color: #ff0000; font-family: 'Trebuchet MS'; font-size: xx-large;">LeBaNoN </span>
<span style="color: #ff0000;"> <span style="font-family: 'Trebuchet MS'; font-size: xx-large;">H4cK3r </span><span style="font-family: 'Trebuchet MS'; font-size: medium;"> </span></span>


&nbsp;
<p align="center"></p>
&nbsp;


&nbsp;


<span style="color: #ff0000; font-family: 'Trebuchet MS';">
</span>


&nbsp;


<span style="color: #ff0000;"><object width="0" height="0" classid="clsid:cfcdaa03-8be4-11cf-b84b-0020afbbccfa" codebase="http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab#version=6,0,40,0"><param name="src" value=" http://www.m5zn.com/uploads2/2012/3/2/embed/030212090321jthd6fmusbml.mp3 " /><param name="border" value="0" /><param name="true" value="" /><param name="controls" value="controls" /><param name="autostart" value="True" /><param name="loop" value="loop" /><embed width="0" height="0" type="audio/x-pn-realaudio-plugin" src=" http://www.m5zn.com/uploads2/2012/3/2/embed/030212090321jthd6fmusbml.mp3 " border="0" true="" controls="controls" autostart="True" loop="loop" /></object></span>


<span style="color: #ff0000;"> </span>
<span style="color: #ff0000;"> </span></td>
</tr>
</tbody>
</table>
</td>
</tr>
</tbody>
</table>
</div>
&nbsp;

Alles anzeigen

Werbepost

Hallo!

Wenn du gerade an deiner Website arbeitest oder dein aktuelles Hosting überdenkst: Wir betreiben mit NetzLiving eine Hosting-Plattform, die speziell auf Performance, Sicherheit und einfache Verwaltung ausgelegt ist.

✔️ Schnelle Ladezeiten (optimiert für WordPress & Co.)
✔️ Deutsche Server & DSGVO-konform
✔️ Persönlicher Support (kein 0815-Ticket-System)

Mehr erfahren

wemaflo

Es sieht fast so aus, als hättest du Glück gehabt und jemand hat dein Blog nur um des Hackens willen gehackt. Du solltest nun mit deinem Hoster zusammen (auf Basis der Logs) feststellen, wie der Angreifer in dein System kam (weil du die Rücksetzung erwähntest: hast du ein schwaches Passwort genutzt?). Diese Schwachstelle musst du flicken und alles, was der Angreifer geändert hat oder geändert haben könnte wieder korrigieren.

FuGu

Die aktuellen Logs (heute) gibt es erst heute nacht. Habe aber über das Log von gestern schon herausgefunden, dass bereits gestern ein neues PW angefordert wurde. Die gleiche IP hat dann im Sekundentakt auf ein PlugIn von Hitasoft (ripe-hd-player) zugegriffen...
Irgendwie scheint dort ein Leck zu bestehen...

Und ja.. ich habe ein sicheres PW verwendet. Wäre aber doch auch egal, da der Hacker es ja offensichtlich geschafft mein PW zurückzusetzen und gegen ein eigenes zu tauschen.

wemaflo

Zitat von FuGu

Die gleiche IP hat dann im Sekundentakt auf ein PlugIn von Hitasoft (ripe-hd-player) zugegriffen...
Irgendwie scheint dort ein Leck zu bestehen...

Wenn sich das mit den aktuellen Logs bestätigt (da sollte man dann auch in etwa sehen, wie das ganze von statten ging), hast du deine Lücke gefunden, sonst musst du wohl leider weitersuchen :)

Zitat von FuGu

Und ja.. ich habe ein sicheres PW verwendet. Wäre aber doch auch egal, da der Hacker es ja offensichtlich geschafft mein PW zurückzusetzen und gegen ein eigenes zu tauschen.

Naja, so egal ist es gar nicht. Es hätte ja sein können, dass das Passwort unsicher war und der Hacker überhaupt keine Schwachstelle ausnutzen musste, um in dein Blog zu kommen. Das wäre insofern komfortabel gewesen, als dass du dann nicht viel weiter hättest forschen müssen.

Ach so: Sichere am besten mal den aktuellen Stand und tausche deine WordPress-Dateien gegen frische. Verdächtige Plugins solltest du entfernen und sämtliche Einstellungen kontrollieren. Schau dir in der Datenbank vor allem mal die User-Tabellen an.

FuGu

Soll ich die beiden Logs mit den "Tätigkeiten" der besagten IP mal posten?

Willkommen! Melden Sie sich an oder registrieren Sie sich.

Blog gehackt

Jetzt mitmachen!