Surf-Forum.com down und gehackt!

Hallo Leute,

ich möchte mich erstmal bei euch für den total Ausfall von rund 36h entschuldigen. Ich hoffe das wird nie nie wieder passieren. Aber es gibt immer kriminelle Energien, die auf so was abfahren, ich werde auch noch Strafantrag stellen.

In Kurzform: Der Server wurde kompromittiert, gehackt. Laut Hoster meiner Seiten wurde der FTP Zugang gehackt. Also die Tür, durch die man alle Daten auf den Server schaufelt.

Das war passiert:

Ich habe Freitag früh eine Warnung von Google erhalten (Malware Notification), daß einzelne Seiten vom Forum verändert wurden und Google entsprechend eine Warnung in den Suchergebnislisten ausgibt.
Betroffen waren allerdings nur einzelne Seiten vom Archiv, darauf greift eigentlich niemand zu. Bei der normalen Forums-Nutzung hat man davon nichts mitbekommen, die war auch nicht betroffen.
Wenn man eine solche Seite aufgerufen hätte, hätte der eigene Rechner infiziert werden können, wenn denn dieser "Hack" funktionstüchtig gewesen wäre. War er aber nicht mal. Das hätte so ausgesehen, daß die Forumsseite von einem iframe überlagert worden wäre. Im Grunde wie eine Popup-Meldung.
Dieser Hack hat sich auf dem Server verbreitet an rund 400 Positionen. Nicht nur auf der Forums Domain, sondern auf allen Seiten die ich habe. Das war mir zu der Zeit aber nicht klar.
Ich habe also meinen Provider HostEurope kontaktiert und um Beseitigung, bzw. Prüfung der Angelegenheit gebeten. HostEurope hat sofort ohne Rückmeldung sämtliche Seiten komplett gesperrt und keine Chance gegeben, irgendwas zu sichern. Das dauerte rund 5 Minuten. Ich hatte ab dem Zeitpunkt nur noch FTP Zugang und Mail, dann bekam ich die Mail von HostEurope was passiert ist und was zu tun ist, damit die Seiten wieder laufen.

So weit so gut, alle Seiten sind weg, Inhalte unbekannt infiziert, that's it. Das ist das normale Procedere in dem Fall. Meine bisherigen Technik-Admins konnten nicht zur Seite stehen, weil das einfach 20 Nummern zu groß war. vBulletin als Software Entwickler des Forums hat von mir eine Support-Anfrage erhalten. Die beschränken sich aber nur auf das "Plattmachen" des Forums und Neuinstallieren. Das heißt, alle User, alle Beiträge, alles weg. Ggfs. Einspielen eins Backups, wenn das noch nicht infiziert wäre.
Woher also schnell einen Programmierer bekommen, der tiefgreifende Serverkenntnisse hat? Ich habe so eine Person gefunden, und ihm das ganze Wochenende bei dem schönen Wetter versaut. Vielen Dank auf dem Weg noch mal an Bert von MT (größtes deutsches Forum) für die schnelle Empfehlung von Alexander S. Er hat sich sofort rangesetzt und ist noch längst nicht fertig.
Alexander hat Backups angefordert, diese installiert und kontrolliert, die waren auch schon infiziert. Es ist ja auch so eine Sache: Nimmt man ein älteres Backup, sagen wir von 2 Wochen Alter, dann sind die Beiträge der Zwischenzeit alle verloren, auch die Neu-User usw. Irgendwie zählt natürlich schon jeder einzelne Beitrag, natürlich jeder User.
Alexander hat sich also gestern den ganzen Tag hingesetzt und manuell die rund 400 Schad-Codes rausgesucht und editiert, aus hundertausenden von Einträgen. Ausserdem Updates gefahren, wobei das Forum ja recht aktuell war. Was mit den anderen Seiten noch passiert, ist nicht klar.
Am frühen Abend dann eine Stellungnahme an HostEurope, die prompt reagiert haben und die Seiten wieder entsperrt haben nach einer Kontrolle.

Mein großer Dank gilt also Alexander, der das Forum jetzt auch dauerhaft betreuen wird, damit so was nie wieder passiert. Er ist ja auch noch längst nicht fertig, er wird noch viele Stunden brauchen bis alles wieder so sicher ist, wie es sein muß.
Selbst gestern Nachmittag war die Chance noch äusserst gering, daß das Forum mit seinen Inhalten zu retten ist. Im Grunde war davon auszugehen, daß alles weg ist.

Alexander hat es geschafft, viele Leute von seinem Schlag gibt es nicht in Deutschland, die dann auch noch spontan einspringen und dann auch fast unmögliches schaffen. Danke schön!

Ich werde später noch die Sachen wieder in Ordnung bringen, die durch die Updates verloren gegangen sind (Logo's neue Beiträge usw.) und auf die schockierende Rechnung warten.

Ansonsten wünsche ich euch weiterhin viel Spaß im Forum

Grüße

Totti

Sooo, Forum ist wieder fertig. Das https://surf-forum.com/www.surf-wiki.com ist auch wieder am Start. Meinen Onlineshop hat es schwerer erwischt, das wird wohl noch viele Stunden dauern, bis der wieder online geht.
Im Großen und Ganzen muß man sagen, mit einem blauen Auge davon gekommen...