Archiv verlassen und diese Seite im Standarddesign anzeigen : Webspace von Freundin gehackt :O
Amun-Re
2009-01-28, 16:13:03
Huhu zusammen,
meine Freundin rief mich heute ziemlich aufgeregt an und lies vermelden das sie eine email von ihrem Provider erhalten hat in der steht das ihre Domain vom Netz genommen wurde weil dort jemand eine Phishing Seite betreibt und das logischerweise gegen derren AGBs ist etc.
Entsprechend besorgniserregend sei, so der Provider weiter, die Tatsache das die gefälschte PayPal Seite über FTP hochgeladen wurde.
Der Provider hat entsprechend die Passwörter geändert und meine Freundin darüber in Kenntnis gesetzt.
Die Frage ist wo war in dem Fall die undichte Stelle.
Ihr müsst wissen ich und meine Freundin tun sicherlich mehr für unsere Sicherheit beim Surfen im Web als der Durchschnittsinternetuser
Um einfach mal die Dinge grob aufzuzählen.
Windows XP SP3 viele Dienste dort natürlich nicht aktiviert ferner sitzt sie hinter einem SPI Router hat darüber hinaus AntiVir permanent auf dem neuestens Stand sowie NoScript im Browser installiert und natürlich Firefox und auch Thunderbird als alternative Programme zum IE und Outlook laufen.
Seh ich das richtig das eigentlich die einzige undichte Stelle eine Phishing Mail sein konnte die sie fälschlicherweise für eine "sichere" hielte und eventuell auf nem Link zu einer weiterführenden Page dort ihre Daten für den Webspace hinterlegt hat oder habt ihr konkret noch andere Ideen?
PHP/sonstige Scripte auf dem Webspace?
Amun-Re
2009-01-28, 16:52:27
Ja war wohl so
Ok, wenn die nicht aktuell waren bieten die viel Angriffsfläche.
Amun-Re
2009-01-28, 20:09:13
Dem war wohl so also die hatte an ihrer Seite ne ganze Zeit schon nicht mehr gewerkelt insofern haut dein Verdacht schon hin.
Kannst du das ganze vielleicht etwas näher ausführen?
Also warum wieso weshalb usw? ^^
Black-Scorpion
2009-01-28, 20:38:42
Wenn sie Pech hat bekommt sie noch eine ganz dicke Rechnung von eventuellen Opfern.
Es reicht eben nicht eine Seite ins Netz zu stellen und alle paar Jahre mal nachzusehen ob sie noch da ist.
nobex
2009-01-29, 09:56:28
Wie sicher war der FTP-Zugan bzw. das Kennwort? Wurde das Kennwort für die Manipulation zurückgesetzt?
Amun-Re
2009-01-29, 12:18:15
Ich denke schon das meine Freundin sich da etwas kreativeres ausgedacht hat als für den FTP Zugang einfach nur ne Passphrase wie 1234 zu verwenden sie ist da schon auf etwas nicht so naheliegendes bedacht.
Nun hat heute der Provider einige PHP Scripte gesperrt die der Hacker wohl noch zum versenden von SpamMails verwendet hat um auf die Phishing Seite aufmerksam zu machen. Meine Freundin hat auf die Warnungen des Providers natürlich sofort reagiert und alle relevanten PHP Scripte gelöscht.
Aus der Besucherstatistik geht hervor das die Phishingpage mit der subdomain .../paypal einige Besuche und auch einige Anfragen aufweist. Besuche iun etwa 78 Anfragen die Hälfte.
Inwieweit ist jetzt zu befürchten das meine Freundin mit weiteren Problemen rechnen muss weil möglicherweise einige Leute auf die Phishingpage hereingefallen sind? Wisst ihr da genaueres sie macht sich schon recht große Sorgen.
Inwieweit ist jetzt zu befürchten das meine Freundin mit weiteren Problemen rechnen muss weil möglicherweise einige Leute auf die Phishingpage hereingefallen sind? Wisst ihr da genaueres sie macht sich schon recht große Sorgen.
wirst du wegen mordes angeklagt wenn jemand dein auto klaut und damit jemanden überfährt?
du kannst nicht für die straftaten anderer verantwortlich gemacht werden.
Amun-Re
2009-01-29, 13:52:52
Jaja das ist für mich soweit schon logisch keine Frage nur laut dem was Black scorpion schreibt hat meine Freundin da doch ide ein oder andere Befürchtung.
Ich kenn halt die genaue Gesetzeslage in solchen Fällen nicht insbesondere weil es wohl schwerer werden dürfte dem Hacker als meiner Freundin habhaft zu werden.
san.salvador
2009-01-29, 13:56:36
wirst du wegen mordes angeklagt wenn jemand dein auto klaut und damit jemanden überfährt?
du kannst nicht für die straftaten anderer verantwortlich gemacht werden.
Wenn du deine Knarre offen rumliegen lässt und jemand damit Schabernack treibt, siehts anders aus.
Hydrogen_Snake
2009-01-29, 14:08:42
wirst du wegen mordes angeklagt wenn jemand dein auto klaut und damit jemanden überfährt?
du kannst nicht für die straftaten anderer verantwortlich gemacht werden.
karre offen wegen fahrlässigkeit anklage, ebenso bist du für offenes wlan verantwortlich, evtl. also auch für das nichtwarten und angriffsfläche bieten von SPAM.
Drehrumbumm
2009-01-29, 14:17:33
hat der Provider den keine Logs, von welcher IP die FTP-Zugriffe kamen?
Vorratsdatenspeicherung und so...
(edit: wobei der "Hacker" dann wahrscheinlich auch hinter nem Proxy war oder sich sonstwie versteckt hat..)
(edit: wobei der "Hacker" dann wahrscheinlich auch hinter nem Proxy war oder sich sonstwie versteckt hat..)
selbst wenn nicht, wird es wohl kaum was bringen, da er wohl irgendwo im ausland sitzt.
Wenn du deine Knarre offen rumliegen lässt und jemand damit Schabernack treibt, siehts anders aus.
mit einer knarre sieht es sicher anders aus, diese ist ja schließlich zum verletzen/töten von menschen gedacht, es gibt aber nirgends ein gesetz, dass sagt ich müsste meine karre (ohne n) zusperren.
stickedy
2009-01-29, 19:16:24
mit einer knarre sieht es sicher anders aus, diese ist ja schließlich zum verletzen/töten von menschen gedacht, es gibt aber nirgends ein gesetz, dass sagt ich müsste meine karre (ohne n) zusperren.
Doch, muss man. Steht in der StVo. Den Paragraphen hab ich jetzt nicht parat, ist aber so. Man muss Sorge tragen, dass das Auto nicht von anderen genutzt werden kann...
Ansonsten @Topic
Da der Provider ja schon bestätigt, hat, dass ein Mißbrauch vorlag, ist sie da eigentlich schon raus. Schadensersatzforderungen in D sind nicht einfach, vor allem bei so einem Fall. Und so lange sich da nichts tut, macht es auch keinen Sinn, sich drum Gedanken zu machen...
Doch, muss man. Steht in der StVo. Den Paragraphen hab ich jetzt nicht parat, ist aber so. Man muss Sorge tragen, dass das Auto nicht von anderen genutzt werden kann...
dafür reicht es aber den schlüssel nicht stecken zu lassen.
beim WLAN bist du auch aus dem schneider wenn du nur WEP benützt.
stickedy
2009-01-29, 19:46:06
dafür reicht es aber den schlüssel nicht stecken zu lassen.
Nein, reicht es nicht. Gerichte haben da anders entschieden...
Doch, muss man. Steht in der StVo. Den Paragraphen hab ich jetzt nicht parat, ist aber so. Man muss Sorge tragen, dass das Auto nicht von anderen genutzt werden kann...
dann such mal...ich finde in der stvo nichts....
stickedy
2009-01-30, 12:43:34
$14 Satz 2
du kannst nicht für die straftaten anderer verantwortlich gemacht werden.
darum geht es hier auch gar nicht. es geht NICHT um die frage der strafbarkeit, sondern um die frage der haftung für schäden bei fahrlässigem verhalten - das ist ein zivilrechtliches verfahren.
bsp:
wenn ein vollhorst einen reservekanister mit sprit in der garage stehen hat, diese nicht abschließt und nun überschüttet ein 5-jähriger seinen kleinen bruder beim spielen mit benzin und zündet ihn an... (das ist leider kein frei erfundenes beispiel). dann ist der besitzer der garage mit sicherheit nicht wegen gefährlicher körperverletzung mit unvorstellbar entsetzlichen folgen für den kleinen jungen aus der nachbarschaft strafbar - es stellt sich aber die frage, wer bis lebenszeitende schmerzensgeld und schwerstbehindertenrente für das kleine kind zahlt.
irgendwo habe ich kein mitleid mit diesem mann - nein, wirklich nicht.
es besteht für den ts und insbesondere seine freundin also durchaus ein guter grund, sich über den vorfall gedanken zu machen. selbst wenn ein gericht sie eventuell am ende eines jahrelangen schadenersatzprozesses freisprechen sollte, haben sie bis dahin anwalts- und gutachterkosten noch und nöcher - von dem ganzen ärger und der verlorenen zeit durch gerichtstermine ganz zu schweigen.
ich würde mich zu diesem zeitpunkt informieren/beraten lassen, ob es eine rechtsschutzversicherung gibt, die in diesen fällen einspringt. ansonsten: herzlichen glückwunsch :( - ich würd kotzen.
ps: ich wünsch dem ts und seiner freundin viel glück, daß niemand einen hohen finanziellen schaden hat und damit zum anwalt geht (ihr werdet es brauchen).
Amun-Re
2009-01-31, 11:45:54
@Gast
Selbst ausgehend davon das deine Aussagen gar berufliche Erfahrungen deinerseits wiederspiegeln könnten möchte ich jetzt nicht meiner Freundin unnötig Panik machen und eine Rechtsschutzversicherung hinzuzuziehen ohne überhaupt konkret zu wissen ob und wo irgendwem ein Schaden enstanden sein könnte klingt für mich im Moment zumindest eher danach mit Kanonen auf Spatzen zu schiessen.
Selbst wenn ich einen Anwalt einschalte wie soll das in der Praxis laufen? Erstmal anhand der IP die Aufrufe zu identifizieren und dann gezielt mit jeder Person in Kontakt zu treten um festzustellen ob und wem dabei geschadet worden sein könnte ist sicherlich etwas müssig und vielleicht sogar unmöglich.
Wo kein Kläger da kein vorläufig auch kein Richter. Und ich bezweifle das jemand an den Webspaceprovider meiner Freundin herantritt um irgendwelche Schadensersatzforderungen durchzudrücken.
Kann mich auch irren und möglicherweise steckt in dem was du sagst mehr Wahrheit drin als ich akzeptieren möchte aber in Panik verfallen möchte ich deswegen auch nicht.
Für mein Bewusstsein von Rech und Unrecht hat sie sich nichts zu schulden kommen lassen und ist sofort nach dem Hinweis des Providers tätig geworden. Vielleicht mach ich mir deswegen weniger Sorgen um den Ausgang des Ganzen.
möchte ich jetzt nicht meiner Freundin unnötig Panik machen und eine Rechtsschutzversicherung hinzuzuziehen ohne überhaupt konkret zu wissen ob und wo irgendwem ein Schaden enstanden sein könnte klingt für mich im Moment zumindest eher danach mit Kanonen auf Spatzen zu schiessen.
Ich habe nicht gesagt, daß du eine Rechtsschutzversicherung abschließen sollst, sondern nur, daß du dich informieren sollst, ob es speziell für diesen Fall etwas gibt, damit ihr, wenn/falls überhaupt ein Schreiben vom Amtsgericht/Anwalt kommt, nicht mit runtergelassenen Hosen dasteht. Es ist immer besser einen Plan in der Tasche zu haben, als wie 'der kleine Arschi in der Schule' darauf zu hoffen, daß der Kelch mal wieder vorüberwandert. ;) Abgesehen davon beruhigt es, wenn man sich mit der Materie auseinandersetzt. Hat deine Freundin eine private Haftpflicht? Vielleicht springt die im Fall der Fälle ja auch ein.
Selbst wenn ich einen Anwalt einschalte wie soll das in der Praxis laufen?
Nein - DU sollst keinen Anwalt einschalten (ihr habt ja keinen Schaden), du sollst selber was tun (dich bei Zeiten informieren).
Für mein Bewusstsein von Rech und Unrecht hat sie sich nichts zu schulden kommen lassen und ist sofort nach dem Hinweis des Providers tätig geworden. Vielleicht mach ich mir deswegen weniger Sorgen um den Ausgang des Ganzen.
Wenn ihr euch keine Sorgen macht, dann ist ja alles ok. ;) - Und die Sache mit dem Unrechtsbewußtsein ist für viele Laien ein Knackpunkt. In vielen Fällen geht es nicht um Begriffe wie Recht, Unrecht oder Schuld. Es liegt meist ein Interessenkonflikt zugrunde, der vom Richter möglichst ausgleichend gelöst werden muß. Und gerade in Schadensfällen greift man sich als erstes die Leute, die 'greifbar' sind. Deswegen haftet zB. grundsätzlich auch in erster Linie der Halter eines KFZ für alle Schäden die durch sein Fahrzeug verursacht werden - auch wenn er nichts Unrechtes getan hat und erst Recht keine Schuld am Unfall hatte. Deswegen hat ja auch jeder KFZ-Halter eine Haftpflicht. Erst im nächsten Schritt kann er sich dann an den Fahrer wenden und sich das Geld von diesem wiederholen. (Das macht dann aber die Versicherung). - Ist vielleicht kein besonders gutes Beispiel, weil diese Haftung gesetzlich so geregelt ist. Bei anderen Sachverhalten muß man mit allem rechnen. ;)
Aber du hast Recht: Ich würde mir keine allzugroßen Gedanken machen. Das, was mich stutzig machen würde ist, daß dein Webspaceprovider eure Seite erstmal aus dem Verkehr gezogen hat. Von alleine werden solche Leute nicht tätig. Es muß also jemand Drittes an den Provider herangetreten sein. Es besteht aber kein Grund zur Panik. Ich würd die Sache erstmal locker sehen und meine Optionen durchgehen:
1. hat sich euer Webspaceprovider mit einer Klausel von der Haftung befreit? (in den AGB seiner Homepage nachlesen, ob da was davon steht, daß die Leute zu 100% selbst verantwortlich sind für die Dinge, die sie online stellen)
2. private Haftpflicht bei deiner Freundin vorhanden? - In den meisten Single-Versicherungen ist eine private Haftpflicht mit drin.
3. schonmal Erkundigungen einziehen, ob es eine günstige Rechtsschutzversicherung gibt, die man dann im Fall der Fälle abschließen kann (ich glaube, daß der Abschluß einer solchen Versicherung erheblich teurer wird, wenn ein Verfahren in der Sache bereits eröffnet ist - ich kann mich aber auch irren)... wenn sich also was ankündigt (z.B. Schreiben eines Anwalts oder ähnliches, dann sollte man nicht gerade im Ski-Urlaub sein oder im Krankenhaus liegen und keine Zeit für solche Sachen haben).
Letzten Endes dient das ganze aber auch eher der Nervenberuhigung: Man hat dann etwas getan, um im Fall der Fälle den eigenen Schaden gering zu halten. - Den Hacker (von dem ihr euch dann im Zweifel euer Geld wiederholen müßt) werden sie mit Sicherheit niemals ermitteln - nicht, daß sie es nicht versuchen würden. ;) Die Typen, die mir meine Reifen plattgestochen haben, mir bereits mehrfach das Auto aufgebrochen haben und mir damals immer wieder meine Radios geklaut haben, haben sie auch niemals erwischt. Irgendwann kriegt man dann den Einstellungsbescheid von der StA und das wars dann. Die Versicherung schreibt dann noch kurz, daß dein Autoradio laut Schwacke-Liste nix Wert ist und der Schaden an der Fahrertür im Rahmen der Selbstbeteiligung zu beheben ist... aber egal... das ist jetzt OT. Inzwischen fahre ich mit einer aufgebrochenen Tür ohne Autoradio und auch im Sommer mit meinen Winterreifen durch die Gegend - ich bins einfach Leid.
stickedy
2009-01-31, 16:47:01
Nein, das mit dem Provider ist ein Standard-Vorgang. Ich nehme an, es ist Strato, 1&1 oder ein anderer großer? Die erfassen anscheinend den Email-Ausgang und falls da auffällig viele verschickt werden, wird die Sache näher angeschaut und erstmal alles blockiert. Gab so nen ähnlichen Fall für ca. 1,5 Jahren bei der Webseite meines Arbeitgebers (für die ich nicht verantwortlich bin!)...
wirst du wegen mordes angeklagt wenn jemand dein auto klaut und damit jemanden überfährt?
du kannst nicht für die straftaten anderer verantwortlich gemacht werden.
Für Straftaten anderer kannst du strafrechtlich nicht belangt werden. Aber zivilrechtlich geht das. Auch in dem von dir gebildeten Fall. Halterhaftung und so.
Danke für das umdichwerfen mit Halbwissen. ;)
Nein, das mit dem Provider ist ein Standard-Vorgang. Ich nehme an, es ist Strato, 1&1 oder ein anderer großer? Die erfassen anscheinend den Email-Ausgang und falls da auffällig viele verschickt werden, wird die Sache näher angeschaut und erstmal alles blockiert. Gab so nen ähnlichen Fall für ca. 1,5 Jahren bei der Webseite meines Arbeitgebers (für die ich nicht verantwortlich bin!)...
Hmm - ich glaub der Fall des TS ist schon eine Nummer größer. Wenn ich den Ausgangspost richtig deute, wurde dort ein kompletter Webspace mit allem drum und dran über ein gestohlenes Passwort gekapert. Es ist ein Unterschied ob jemand eine E-Mail Adresse für den Versandt von Spam mißbraucht, oder ob jemand im Webspace eines anderen eine Phishing-Site hochlädt. - Das ist schon ein ziemlicher Klops. - Stell dir vor jemand stellt auf deinem Webspace Kinderpornos online und eröffnet einen Gratisversandt für Drogen aus Afghanistan und Waffen aus Weißrussland, vielleicht noch ein paar Bombenbauanleitungen dazu oder Mitgliedswerbung für ein Terrorkamp... dann ist die Kacke aber ganz schön am dampfen - und wenn das dann noch über Wochen läuft, weil du deinen Webspace nur einmal im Monat überwachst - gute Nacht. Ich kann schon verstehen, daß die Freundin des TS ein bischen hibbelig ist. Hier ging es ja um den gezielten Betrug im Zusammenhang mit PayPal (also um echtes Geld - quasi wie manipulierte Geldautomaten):
Entsprechend besorgniserregend sei, so der Provider weiter, die Tatsache das die gefälschte PayPal Seite über FTP hochgeladen wurde.
Ich nehme an, daß bereits ein Ermittlungsverfahren eingeleitet wurde und der Provider über die Ermittlungen in Kenntnis gesetzt wurde. Deswegen auch die vorläufige Sperrung der Domain/des Webspace - obwohl das ja eigentlich den Ermittlungen zuwider läuft. Möglicherweise ist das ein Wink des Providers mit dem Zaunpfahl für seinen Kunden (die Freundin des TS) - denn woher soll der Provider wissen, daß nicht doch die Freundin der Urheber der Betrugsaktion ist? Mit IPs läßt sich heute gar nichts beweisen - die Freundin des TS könnte die Phishing-Site mit ihrem Passwort bequem aus jedem Internetcafe selbst hochgeladen haben. ;)
Ich tendiere dazu dem TS zu glauben. Aber das ist nur meine Meinung - im Schadenersatzprozeß zählen nur harte Fakten - wie zB.: Wer zeichnet für den Webspace verantwortlich, von dem aus der Betrug initiiert wurde. + Hat der Webspaceeigentümer seine Pflichten verletzt/fahrlässig gehandelt (zB. keine regelmäßige, nachweisbare Kontrolle über seinen Webspace ausgeübt).
Amun-Re
2009-01-31, 23:53:36
Hmm naja wenn die Rechtssprechung in so einem speziellen Fall besagt das es aufgrund der Tatsache das man dem wirklichen Phishing-Urheber nicht habhaft werden kann vorzuziehen ist auf den Seitenbetreiber einzudreschen der (und das kann ich euch in diesem konkreten Fall versichern) selber Geschädigter respektive Geschädigte ist dann läuft sicher einiges schief.
Ich kann jetzt auch nicht zu meiner Freundin gehen und ihr dazu raten sich mit allerhand Rechtsmittel zu bewaffnen gegen eine latente aber eventuell aufkommende Bedrohung.
Manchmal ist ein gesundes Maß an Ignoranz (und die Betonung liegt hierbei wirklich auf gesund) auch kein schlechter Weg sich etwaiger Probleme zu entledigen.
Ich geh jetzt erstmal nicht vom "worst-case" aus aber mit dem Provider nochmal Rücksprache zu halten um zu wissen wie die sich verhalten in der Sache ist vielleicht kein so schlechter Weg.
stickedy
2009-02-01, 01:13:46
Hmm - ich glaub der Fall des TS ist schon eine Nummer größer. Wenn ich den Ausgangspost richtig deute, wurde dort ein kompletter Webspace mit allem drum und dran über ein gestohlenes Passwort gekapert. Es ist ein Unterschied ob jemand eine E-Mail Adresse für den Versandt von Spam mißbraucht, oder ob jemand im Webspace eines anderen eine Phishing-Site hochlädt. - Das ist schon ein ziemlicher Klops. - Stell dir vor jemand stellt auf deinem Webspace Kinderpornos online und eröffnet einen Gratisversandt für Drogen aus Afghanistan und Waffen aus Weißrussland, vielleicht noch ein paar Bombenbauanleitungen dazu oder Mitgliedswerbung für ein Terrorkamp... dann ist die Kacke aber ganz schön am dampfen - und wenn das dann noch über Wochen läuft, weil du deinen Webspace nur einmal im Monat überwachst - gute Nacht. Ich kann schon verstehen, daß die Freundin des TS ein bischen hibbelig ist. Hier ging es ja um den gezielten Betrug im Zusammenhang mit PayPal (also um echtes Geld - quasi wie manipulierte Geldautomaten):
Nein, war ungefähr der gleiche Fall. Da gab es anscheinend ne Sicherheitslücke irgendowo in php (die Provider haben da sehr oft nicht das aktuelleste Release drauf). Was genau hochgeladen wurde, weiss ich nicht (habs nicht gesehen), aber es wahr wohl auch irgendne Phishing-Sache o.ä. Aber egal, ist eh lang her...
vBulletin®, Copyright ©2000-2024, Jelsoft Enterprises Ltd.