Meine Homepage ist gehackt worden. Was soll ich machen?

[Kabel242]

Ich habe die letzten Tage sehr viele Mails bekommen mit "return to sender". Sowas gibt es ja oft als Spam, aber beim genaueren hinschauen merkte ich, dass der Absender mein Mailserver von meiner Homepage war. Zieladresse meine Web.de Adresse die nichts mit meiner Homepage zu tun hatte.
Ich forschte nach und schrieb meinem Provider. Der konnte nix sagen, und um sich da rein zuarbeiten wollte er Geld (verständlich). Ich habe mich gestern hingesetzt und bin die logs durch und habe den hack gefunden. 11.11.2008. Ich benutzt Joomla 1.5.5 und hatte nicht das neuste Update (hab ich noch nicht gemacht gehabt -mein Fehler )
Es wurde im Image Ordner eine php Datei abgelegt. diese wurde seit den letzten Tagen ca 30 mal aufgerufen.
Habe die auch mal aufgerufen. Ist ein kleines Programm mit diversen Einstellmöglichkeiten und Eingabefeldern zum SPAM versenden.
Die Mails die zurück kamen sind alle auf spanisch, die IP Adressen die ich rausgefiltert habe kommen aus Brasilien. Könnte also gut sein das der Angriff wirklich da her kam.
Habe erstmal die Verzeichnisnamen geändert, alle Passwörter geändert und eine Sicherung von Log und allen Daten gemacht. Jetzt ist keine Spam mehr gekommen.
Habe heute morgen mal im Internet gesucht und bin auf eine Seite von der Polizei gekommen die sich mit dem Thema beschäftigt. Ich habe dort hingeschrieben und die empfehlen mir Anzeige zu erstatten.
Meine Hauptsorge ist nur, dass ich zivielrechtlich belangt werden könnte wenn jemand sich belästigt fühlt oder ein Schaden entstanden ist. Strafrechtlich scheint es kein Problem zu geben.
Würdet Ihr euch an meiner Stelle sorgen machen, dass ich dadurch noch Probleme bekomme? Würdet Ihr eine Anzeige machen? Sehe da keinen Sinn drinnen, höchstens wenn es was in Bezug auf Straf / Zivielrechtlich für mich bringen würde.....

Bin mir gerade ganz schön unsicher was ich machen soll. War noch nie in so einer Situation

Freu mich über jeden Tip von euch

P.S: Keine Kommentar das ich bei Joomla kein Update gemacht hatte. So alt war die Version noch nicht.....und ich habe es echt verbummelt zu schauen

 

[verdi]

zum mail problem: keine ahnung

ich würd mir aber grundsätzlich mal gedanken machen über alle anderen sachen auf dem webspace ... nach dem hack kannst du nichtmehr davon ausgehen dass der rest noch unverändert ist ... also solltest du schleunigst ALLE daten löschen und durch nen sauberes backup ersetzen ...

hatte ähnliches schon 3x wegen dem phpBB auf gs-500.de und dort wurden jedesmal alle scripte in allen erreichbaren ordner verändert... bei mir war allerdings der provider so nett die log auswertung vorzunehmen und mir dann alle infos zukommen zu lassen ... ( könnte damit jetzt wieder werbung für domainfactory machen aber das hab ich hier schon zu oft )

 

[Kabel242]

Ja, wegen den Daten ist mir das Risiko auch zu groß. Wer weiß was im log wirklich drinnen steht.
Ich werde die ganze Seite löschen und nur noch die Mailfunktionen nutzen. Habe einfach keine Zeit mich ständig darum zu kümmern. Es gibt zur Zeit wichtigeres *g*
Wenn ich das nochmal mache, dann komplett neu.....
Habs nur noch nicht komplett gelöscht um evtl Spuren verfolgen zu können

 

[qwertz]

Exakt dieses Problem hatte ich leider auch mal. Dabei wurde auch meine EMail Adresse als Spam Schleuder Mißbraucht.

Hab dann schnell die PW geändert und die Seiten "gereinigt". Seit dem ist Ruh

Ich glaube aber nicht, dass Du in dem Fall rechtlich belangt werden kannst.
Wenn ich mir so die Absender der Spam Nachrichten ansehe und wenn jeder den verklagt dessen Email gehackt wurde, wird man nie fertig und es ist auch unsinnig, da der ganze Spam ja von Adressen kommt die gehackt wurden.

Von daher würde ich mir keine Sorgen machen. Mich hat auch keiner "belangt" und ich denke in dem Fall hast Du auch einen Nachweis, dass Du nicht der eigentliche Spamversender bist (Logs, etc.)

 

[verdi]

spuren kannste vergessen ... das kommt immer von ausländischen IPs und da kommste eh nicht dran ... abboniere den joomla security newsletter und update immer SOFORT ... alles andere führt immer wieder zu solchen vorfällen ... bei mir wars jedesmal abends wenn morgen nen neues update rauskam ...

 

[Think_freak]

Im Imageordner Dateien ohne .jpg Endung auskommentieren. #
Dann passiert sowas net

 

[Kabel242]

[quote='Think_freak',index.php?page=Thread&postID=474004#post474004]Im Imageordner Dateien ohne .jpg Endung auskommentieren. #
Dann passiert sowas net[/quote]

Auf sowas kommt man aber erst, wenn es zu spät ist

 

[Think_freak]

@Kabel

da hast Du wohl Recht

wenn du ein eigenes Script nutzt könnte das in der inkludierten INC so aussehen:
<?
function upload($frageID){
$path = "bilder/".$frageID."_";
$max_size = 200000;
$endungen = array("jpg","gif");

$name = $_FILES['bild']['name'];
$explode = explode(".", $name);

$this_end = $explode[1];

if(!in_array ($this_end, $endungen)) return "Nur Endungen .gif / .jpg sind zulässig.";
$size = $_FILES['bild']['size'];
if($size > $max_size) "Ihr Bild ist zu groß. Nur maximal 2MB sind zulässig.";

$temp = $_FILES['bild']['tmp_name'];
if(move_uploaded_file($temp, $path.$name)) {return "Ihr Upload von Ihrem Bild(\"$name\") war erfolgreich.";}
else{return "Es ist ein Fehler aufgetreten, bitte laden Sie das Bild erneut hoch.";}

}
?>

 

[Simon]

Bei joomlaportal.de gibt es im Unterforum Sicherheit eine menge Threads zu gehackten Seiten und den richtigen Sicherheitsmaßnahmen. Tenor ist, die Seite durch ein backup vor dem Hack zu ersetzen und dann sofort auf 1.5.8 updaten.