DDoS Atacke von einer meiner Wordpress Installationen

Hallo zusammen,

mein Hosting-Anbieter teilte mir eben mit, dass von meinem Benutzer aus eine DDoS-Attacke ausgeführt wurde. Ich habe derzeit nur Wordpress (zwei Installationen) im Einsatz und kann mir nicht erklären wie das passieren konnte.

Ich nutze bei beiden Installationen WP 3.7, habe keinen User "admin" und ein sicheres Kennwort, bestehend aus Buchstaben, Zahlen und Sonderzeichen.

Ich muss nun vom Hosting-Anbieter die fehlerhafte Datei suchen lassen - und das kostet Geld, was ich in diesem Fall gerne bezahle. Jedoch stellt sich mir nun die Frage wie man dies zukünftig vermeiden kann. Worauf kann ich denn noch achten?

Ich kann derzeit nicht sagen welche Plugins ich nutze, denn die Seite ist, selbst für mich, derzeit nicht erreichbar. Die Links helfen Euch im Moment auch nicht, denn der Hosting-Anbieter hat die Seiten derzeit komplett blockiert.

Ich würd mich über Eure Hilfe freuen um zukünftig solche Probleme vermeiden zu können.

Vielen Dank

Mathias

Hallo zusammen,
danke für die schnellen Antworten. Ich habe von meinem Hoster (Top-Hoster) folgende Mail erhalten:

Zitat

aufgrund einer DoS-Attacke welche ausgehend von Ihren Web-Benutzer war, mussten wir folgenden Webaccount sperren:
Benutzer: webxxx
Server: SERVER-X
Die Sperrung ist aufgrund der Dringlichkeit der illegalen Aktivität erfolgt.
Zudem ist davon auszugehen, das die Sicherheitslücke in Ihren Scripten weiterhin vorhanden ist und vor Freischaltung entfernt sein muss. In der Regel ist ein ausgehender DoS durch eine Sicherheitslücke in der verwendeten Software zurückzuführen. Dafür ist u.a. Joomla, WordPress usw. bekannt, dass bspw. im Upload (/tmp) Verzeichnis Daten hochgeladen wurden.
Entsprechende Anhaltspunkte können Sie im FTP-Verzeichnis /log Ihrer
access- und error-log entnehmen.
HINWEIS:
Halten Sie aus diesem Grunde Ihre Websoftware immer auf den aktuellsten Stand mit Sicherheitsupdates etc. und insofern Sie hierbei Unterstützung benötigen, nehmen Sie bitte Kontakt mit uns auf.
Bitte beachten Sie, dass wir die Inhalte Ihres /html-Verzeichnisses aus Sicherheitsgründen in das /files-Verzeichnis verschoben haben.
Sollten Sie hierzu Fragen haben, nehmen Sie umgehend Kontakt mit uns auf um die Angelegenheit klären zu können.
Sobald die Sicherheitslücke/Fehler behoben ist, werden wir den Web-Benutzer wieder freigeben.

--<AUSZUG>---
webxxx 115001 0.0 0.0 0 0 ? Z Oct29 1:02 {php}
<defunct>
webxxx 125723 0.0 0.0 0 0 ? Z Oct29 0:26 {php}
<defunct>
webxxx 125737 0.0 0.0 0 0 ? Z Oct29 0:22 {php}
<defunct>
webxxx 135190 0.0 0.0 0 0 ? Z Oct29 0:26 {php}
<defunct>
webxxx 135191 0.0 0.0 0 0 ? Z Oct29 0:16 {php}
<defunct>
webxxx 135195 0.0 0.0 0 0 ? Z Oct29 0:16 {php}
<defunct>
webxxx 135196 0.0 0.0 0 0 ? Z Oct29 0:24 {php}
<defunct>
webxxx 135206 0.0 0.0 0 0 ? Z Oct29 0:30 {php}
<defunct>
webxxx 146338 0.0 0.0 0 0 ? Z Oct29 0:02 {php}
<defunct>
webxxx 146339 0.0 0.0 0 0 ? Z Oct29 0:00 {php}
<defunct>
webxxx 146341 0.0 0.0 0 0 ? Z Oct29 0:02 {php}
<defunct>
webxxx 147803 0.0 0.0 0 0 ? Z Oct29 0:01 {php}
<defunct>
webxxx 148225 0.0 0.0 0 0 ? Z Oct29 0:04 {php}
<defunct>
webxxx 148229 0.0 0.0 0 0 ? Z Oct29 0:02 {php}
<defunct>
webxxx 148265 0.0 0.0 0 0 ? Z Oct29 0:02 {php}
<defunct>
webxxx 148453 0.0 0.0 0 0 ? Z Oct29 0:00 {php}
<defunct>
webxxx 149846 0.0 0.0 0 0 ? Z Oct29 0:01 {php}
<defunct>
webxxx 149847 0.0 0.0 0 0 ? Z Oct29 0:00 {php}
<defunct>
webxxx 150296 0.0 0.0 0 0 ? Z Oct29 0:03 {php}
<defunct>
webxxx 150305 0.0 0.0 0 0 ? Z Oct29 0:01 {php}
<defunct>
webxxx 151891 0.0 0.0 0 0 ? Z Oct29 0:07 {php}
<defunct>
webxxx 151934 0.0 0.0 0 0 ? Z Oct29 0:02 {php}
<defunct>
webxxx 151982 0.0 0.0 0 0 ? Z Oct29 0:01 {php}
<defunct>
webxxx 152353 0.0 0.0 0 0 ? Z Oct29 0:00 {php}
<defunct>
webxxx 152574 0.0 0.0 0 0 ? Z Oct29 0:01 {php}
<defunct>
webxxx 153642 0.0 0.0 0 0 ? Z Oct29 0:02 {php}
<defunct>
webxxx 153839 0.0 0.0 0 0 ? Z Oct29 0:03 {php}
<defunct>
--<AUSZUG>---

Wenn Sie noch weitere Fragen haben oder Unterstützung benötigen,
stehen wir Ihnen gern zur Verfügung.

Alles anzeigen

Auf Nachfrage habe ich erfahren, dass drei andere Anbieter die Attacke gemeldet haben. Ich gehe nicht davon aus, dass Top-Hoster mich bei dieser Sache betrügen will, denn ich bin sonst sehr zufrieden mit denen. Ich habe auch bereits 30 Minuten mit denen telefoniert und der Mitarbeiter war sehr hilfsbereit.
Ich habe mich eben im Internet ein wenig schlau gemacht und gesehen, dass wohl in den letzten 1,5 Monaten viele WP-Seiten an DDoS Attacken beteiligt waren.
An die Logfiles komme ich ran, diese sind aber 170 MB groß. Ich finde da auch nichts. Lediglich das Error-Log spielt verrückt seit dem meine Seite von Anbieter gesperrt wurde...
Ich bin einfach nur sehr verärgert, dass meine Sicherheitsmaßnahmen nicht gegriffen haben. Bei dem Server handelt es sich um ein normales Webspace und nicht um einen eigenen Server.
Gruß
Mathias

Ich muss gerade feststellen, dass das Access-Logfile nur einen halben Tag Daten drin hat... Und es ist so groß. Ist ja schon fast als wäre die Attacke auf mich verübt worden...

Mein FTP-Passwort beinhaltet ebenfalls Groß- & Kleinbuchstaben, Zahlen und Sonderzeichen. Also das kann man nicht so einfach knacken.

Ich bin mal gespannt was der Hoster so rausbekommen wird. Vielleicht ist ja auch ein Plugin die Ursache für den Angriff. Das wäre das einfachste. Ich hab denen jetzt erst mal eine Stunde genehmigt, die ich natürlich bezahlen muss, aber besser als wenn ich alles neu aufsetzen müsste!

Aber so eine richtige Idee wie ich sowas ausschließen kann hab ich immer noch nicht...

Mathias