Server gehackt

Das fehlte gerade noch.
Vor ein paar Minuten vom Provider gekommen:

Zitat

Sehr geehrter Herr Oelke,

wir bedauern sehr, Sie heute darüber zu informieren, dass die 1blu AG zum aktuellen Zeitpunkt Ziel einer Erpressung ist. Gegenstand der Erpressung ist die Veröffentlichung vertraulicher, unternehmensinterner Daten durch einen illegalen Zugriff auf das interne 1blu-System. Alternativ wurden wir zur Zahlung einer hohen Geldsumme aufgefordert.

Unmittelbar nach Eingang der Forderungen haben wir das Landeskriminalamt Berlin über die Erpressung informiert. Eine auf Internetkriminalität spezialisierte Einheit hat die Ermittlungen aufgenommen und steht dabei mit uns in engem Kontakt.

Nach einer internen Analyse bestätigen wir, dass ein illegaler Zugriff auf unser internes System stattgefunden hat und wir als Folge auch Kundendaten als kompromittiert betrachten müssen. Dabei handelt es sich um die Zugangsdaten für den Kundenlogin, für E-Mail-Konten, FTP, MySQL, 1blu-Drive sowie die persönlichen Kundendaten. Zwar werden die Daten zum Großteil verschlüsselt gespeichert, die Verschlüsselung konnte jedoch offensichtlich vom Hacker entschlüsselt werden.

Bei euch passiert gar nichts und eure Passwörter liegen verschlüsselt in der Datenbank.
Die haben nur die generellen Zugangsdaten zum Server. Passwörter hab ich schon geändert.
Was man natürlich nicht ausschließen kann ist, dass sie bereits eine Backdoor/Trojaner oder so installiert haben und mich dadurch entweder als Spamverteiler verwenden oder andere Dinge nach Lust und Laune kaputt machen.
Ich mach heute Abend mal einen Sicherheitsscan. Von der Arbeit aus geht das leider nicht.

Nein, hier müsst ihr die Passwörter nicht ändern. An die kommen sie nicht ran.
Es besteht eher die theoretische Möglichkeit, dass sie das komplette Board löschen, falls sie schon drin waren.
Aber keine Angst, es gibt Backups.

So, sicherheitstechnisch ist alles in Ordnung. Hat sich keiner bei uns zu schaffen gemacht.
Was noch nicht wieder geht ist das Backup. Da bin ich noch dran. Normalerweise wird gegen 4 einmal der gesamte Server gesichert.
Von letzter Nacht gibt es also erstmalig kein Backup. Ich hoffe, das funktioniert bis morgen wieder.

Es scheint mal wieder jemand Langeweile zu haben und/oder mir den Abend versauen zu wollen. Als wenn er nicht schon beschissen genug wäre.
Jedenfalls... irgendjemand hat sich anscheinend massiv an allen User- und Gruppenberechtigung auf Filesystemebene zu schaffen gemacht und auch die DB und Passwörter durcheinandergewirbelt.
Nun muss ich jedenfalls nicht mehr darüber nachdenken, was ich heute noch so tue.
Im Moment läuft das Forum wieder. Ich kann aber nicht sagen was noch passiert. Ich bin noch dabei...

Darum geht es meist gar nicht.
Der Server selbst ist interessant und man könnte den für alle möglichen illegalen Aktivitäten und zum spammen mißbrauchen.

Aber ich muss erstmal die Logs durchforsten. Kann auch sein, dass irgendein Update-Skript Amok gelaufen ist. Wobei der Grad der Zerstörung schon an Bösartigkeit grenzt und ich eigentlich nicht an einen simplen Update-Fehler glaube.