Sicherheitssystem zur Erkennung und Bereinigung von Schadcode auf gehackten Joomla-Webseiten und Wordpress-Webseiten: FI-App und FileInspector

Jede Internetseite ist potentiell gefährdet! Das Internet ist kein sicherer Ort. Deshalb ist es generell ratsam, Ihre Internetseite gegen Angriffe aus dem Internet abzusichern.

Leider wähnen sich viele Betreiber kleinerer Webauftritte in falscher Sicherheit: „Ich habe nur eine kleine Internetseite für meinen Verein, für mein kleines Unternehmen. Dafür interessieren sich Hacker doch nicht.“

Falsch! Denn fast alle Angriffe auf eine Internetseite sind überhaupt nicht persönlich gemeint. Hinter ihnen steckt nicht mal ein Mensch: Nahezu alle Angriffe werden vollautomatisch von Hackersoftware ausgeführt, einem sogenannten Exploit. Der Angriff wird dabei gleichzeitig von tausenden Rechnern — einem Botnet — gegen eine Vielzahl von Internetseiten gestartet. Ein Botnet besteht aus sehr vielen Rechnern, die ihrerseits zuvor gehackt wurden und nun von einem sogenannten command and control-Server aus ferngesteuert werden.

Zur Veranschaulichung der Dimension ein konkretes Beispiel aus unserem Alltag als Internetdienstleister: Ein von uns beobachteter Brute-Force-Angriff erfolgte mit einer Frequenz von 80 Angriffen je Minute im 12-stündigen Zeitraum des Maximums.

Das Ziel dieser Angriffe sind dabei nicht etwa Informationen, die auf Ihrem Serverplatz gespeichert sind. Sondern es geht vielmehr darum, Ihren Serverplatz zu kapern, um darauf Schadsoftware zu installieren. Gelingt dies, wird Ihr Serverplatz selbst Teil eines Botnets oder zur Spam-Mail-Schleuder. Nichtsahnende Besucher Ihrer Seite könnten sich Erpressungs-Malware (Ransomware) — wie z.B. Locky — einfangen. Eher schon eine veraltete Art und Weise wäre es, Ihren Serverplatz als Umleitungsstation zur Verschleierung von Aufrufen illegaler Webseiten oder anderen kriminellen Machenschaften im Internet zu benutzen.

Im Untergrund des Internets (Darknet) werden Botnets und Exploit-Kits „zur Miete“ angeboten, die es auch technisch völlig Unbedarften ermöglichen, ihren illegalen Tätigkeiten nachzugehen. Wer wissen möchte, wie dieses Geschäftsmodell — auch technisch — funktioniert, kann dies im Artikel „Einbruch mit Komfort“ der Fachzeitschrift c’t erfahren.

Sie sehen: Die Annahme, die eigene Internetseite sei zu uninteressant für einen Angriff, verleitet zu fahrlässigen und fatalen Versäumnissen im Hinblick auf die unbedingt notwendigen Sicherheitsvorkehrungen. Denn jeder im Internet erreichbare Server – egal ob von einem Brieftaubenverein oder einem internationalen Konzern – wird automatisiert angegriffen.
Dies ist die traurige Situation, die wir auf Grundlage eigener Erfahrungen konstatieren müssen.

Es ist erforderlich, Ihre Webseite offline zu nehmen, zu analysieren, zu bereinigen und die Systemdateien zu reparieren. Falls noch nicht geschehen, muss ein Update des Systems und aller Erweiterungen durchgeführt werden. Erfolgte ein Update auf die neueste Version bereits vor dem Hack, müssen alle Systemdateien trotzdem erneuert werden. Anschließend müssen alle Zugangs-Passwörter neu gesetzt werden. Um zukünftige Angriffe zu erschweren, müssen nicht zuletzt auch die Sicherheitsvorkehrungen maßgeblich erhöht werden. Sind alle diese Maßnahmen erfolgt, kann Ihre Seite wieder online gehen.

Für diese Maßnahmen ist viel Erfahrung notwendig. Sie können sich nicht allein auf die Mitteilungen Ihres Webhosters verlassen.

Wir helfen Ihnen gerne bei diesen Arbeitsschritten, mit unserer Erfahrung und unseren Tools FileInspector und FI-App, welche wir speziell zur Analyse und Bereinigung kompromittierter Internetseiten und Content-Management-Systeme (CMS), wie z.B. Joomla und Wordpress, entwickelt haben.

Bedenken Sie:
Reparieren Sie Ihre Internetseite nur notdürftig so, dass sie vermeintlich gerade wieder läuft, dann bleibt ihre Seite mit großer Wahrscheinlichkeit eine ferngesteuerte Zombie-Installation, die ohne Ihr Wissen munter Schadcode im Internet verbreitet.

An einem konkreten Beispiel möchten wir die Folgen eines Angriffs auf verwundbare Installationen von Content-Management-Systemen (CMS) aufzeigen und außerdem deutlich machen, dass dadurch viele andere Rechner in Gefahr geraten. Grundsätzlich sind alle CMS betroffen, so ist Wordpress das derzeit mit Abstand beliebteste Angriffsziel.

Kurz vor Weihnachten 2015 startete eine bis dato beispiellose Angriffswelle gegen Joomla-Installationen, die sich gezielt eine zero-day-Lücke zunutze machte. Hektisch wurden vom Joomla-Team innerhalb weniger Tage drei Updates hintereinander veröffentlicht, bis die Lücke endgültig geflickt war. Doch da war es für sehr viele Installationen schon zu spät. Das LKA Niedersachsen ermittelte im Februar 2016, dass die damals akute Verbreitungswelle der Erpressung-Malware TeslaCrypt auch über etliche der zuvor gehackten Joomla-Installationen an Besucher dieser Internetseiten lief.

Wir haben den Angriff auf Joomla von Weihnachten 2015 genauer analysiert. Es zeigte sich, dass Schadcode teilweise in Dateien injiziert wurde, die regulärer Bestandteil des CMS-Kerns oder von Erweiterungen sind. Auch neu eingeschleuste Schadcode-Dateien haben wir identifiziert. Viele von ihnen versuchen sich dadurch zu tarnen, dass sie dieselben Namen besitzen wie CMS-Systemdateien.

Für eine Bereinigung ist es keineswegs ausreichend, nach Dateien mit unbekanntem Namen zu suchen. Ganz abgesehen davon, dass es ein aussichtsloses Unterfangen wäre, in vielen (Unter-) Ordnern und vielen tausend Dateien den Schadcode durch Augenscheinnahme finden zu wollen.

Auch das Installieren aktueller Updates für ein CMS selbst und für alle installierten Erweiterungen beseitigt oft nicht den injizierten Schadcode, wie im oben verlinkten Beitrag zur Verbreitung von TeslaCrypt bestätigt wird.

Der Schadcode hat zur Folge, dass das kompromittierte CMS mit zwei verschiedenen grundlegenden Methoden ausgenutzt werden kann:

1. Es wird eine Hintertür eingebaut, über die der Angreifer jederzeit Vollzugriff auf die Dateistruktur des CMS auf dem Server hat. So kann er eine sogenannte Payload, also z.B. ein Paket Erpressungs-Malware, auf den Server hochladen und die Dateien des CMS so manipulieren, dass Rechner von Seitenbesuchern damit infiziert werden.
2. Dateien des CMS werden auf eine Weise manipuliert, dass in die übliche HTML-Ausgabe, die das CMS generiert, eine beliebige Weiterleitung auf eine andere Internetadresse injiziert wird. Oft geht es von dort über weitere Umleitungen letzten Endes auf eine bösartige Seite. Diese Weiterleitungen sind unsichtbar, sie werden in versteckten iFrames ausgeführt — klassisches Cross-Site-Scripting.

Da wie eben aufgezeigt viele gehackte Seiten zwar auf den aktuellen Stand aktualisiert, aber nicht korrekt bereinigt werden, lauern im Netz viele Zeitbomben und warten nur darauf, aktiviert zu werden.

Unser Online-Sicherheitssystem FI-App ist ein Frühwarnsystem. Sein Name leitet sich von unserem bewährten Offline-Analysetool FileInspector ab. FI-App durchsucht alle Dateien eines Content-Management-Systems (CMS) direkt auf dem Server und findet Schadcode in Systemdateien sowie neu hochgeladene Schadcode-Dateien, welche bei einem Angriff in die Dateistruktur des CMS injiziert wurden. Im Fall eines Schadcode-Funds alarmiert FI-App per E-Mail und sendet den Befund gleich mit. Auf diese Weise ermöglicht FI-App eine optimale Incident Response Time.

Einige Webhoster bieten Systemdateien-Scans an; diese sind aber in der Regel nicht auf dem hohen Sicherheitsniveau, welches unsere FI-App bietet. Denn FI-App ist individuell an Ihr Onlinesystem anpassbar und bietet damit den entscheidenden Vorteil gegenüber den Sicherheits-Tools Ihres Webhosters, die einer Vielzahl gängiger Onlinesysteme genügen müssen und damit notwendigerweise eine geringere Sicherheitsstufe fahren.

Die zusätzliche Sicherheit der FI-App bieten wir zu einem vernünftigen Preis an:
Die Ein-Jahres-Lizenz beträgt 100 € zuzügl. gesetzlicher MWSt.

Je nach Angriffsszenario gestaltet sich die Analyse und Bereinigung individuell und erfordert somit einen unterschiedlich hohen Aufwand. Diesen Aufwand rechnen wir nach einem festen Stundensatz ab.

Die Analyse und Bereinigung einer gehackten Webseite muss gründlich und mehrstufig durchgeführt werden. Dabei müssen unterschiedliche Aspekte untersucht werden, wie z.B. Veränderungen von Systemdateien, neu hochgeladene Schadcode-Dateien oder Analysemuster von bekanntem Schadcode. Ein Content-Management-System besteht aus rund 10 000 Dateien unterschiedlicher Dateitypen, die alle analysiert werden müssen.

Eine hundertprozentige Erfolgsgarantie für das Auffinden von Schadcode in einer zuvor kompromittierten Content-Management-System-Installation können wir aus rechtlichen Gründen nicht geben. Nicht in unserem Einflussbereich liegen darüber hinaus Fehler (Bugs) im Programmcode des CMS selbst und in der den CMS zugrunde liegenden Skriptsprachen, wie z.B. PHP oder JavaScript.

FI-App durchsucht alle rund 10 000 Dateien einer Joomla- oder Wordpress-Installation direkt auf dem Webserver. Deshalb sind bestimmte Mindestanforderungen an die Systemressourcen des Servers notwendig. In der Regel stehen diese Mindestvoraussetzungen heute bereits für erschwingliche Webpakete kleinerer und mittlerer Größe zur Verfügung.

Darüber hinaus ist es auch aus Gründen der Seitenaufbau-Geschwindigkeit nicht ratsam, ein Content-Management-System, wie z.B. Wordpress oder Joomla, auf einem Webpaket mit nur geringen Systemressourcen zu betreiben.