Eine mögliche Infektion über FTP-Zugangsdaten untersuchen

Ein Eindringen kann JavaScript, iframe, Hintertüren oder Phishing-Seiten in viele Dateien einfügen. Browser und Suchmaschinen können vor der Website warnen, wenn sie gefährliche Inhalte erkennen.

Am Aussehen der Dateien lässt sich nicht erkennen, wie der Angreifer hineingekommen ist. Bevor Sie es FTP zuschreiben, sichern und prüfen Sie die Zugriffslogs, die Änderungsdaten und die vorhandenen Konten. Zu untersuchen sind auch Sicherheitslücken der Anwendung, Administratoren, geplante Aufgaben und andere Zugänge zum Hosting.

Zeigen die Logs eine gültige, aber unbekannte FTP-Anmeldung, betrachten Sie diese Zugangsdaten als kompromittiert. Sichern Sie das Log und widerrufen oder beschränken Sie diesen Zugang so schnell wie möglich von einem vertrauenswürdigen Gerät aus. Prüfen Sie auch die Geräte, von denen aus er genutzt wurde; warten Sie mit der Eindämmung eines aktiven Zugangs aber nicht, bis deren Prüfung abgeschlossen ist.

Sicherheitstipps

1. Nutzen Sie SFTP, wenn verfügbar, und löschen Sie FTP-Konten, die Sie nicht brauchen.
2. Vergeben Sie für jedes Konto ein langes, eindeutiges und eigenes Passwort; speichern Sie es in einem zuverlässigen Passwortmanager.
3. Halten Sie Betriebssystem, Browser und FTP-Programm aktuell und prüfen Sie das Gerät mit seiner Sicherheitslösung.
4. Ändern Sie nach der Absicherung des Geräts die FTP-Zugangsdaten, die nachweislich offengelegt wurden, sowie alle anderen, die mehrfach verwendet wurden oder für den Angreifer zugänglich gewesen sein könnten.
5. Bereinigen Sie das ganze Konto, schließen Sie den Einfallsweg und prüfen Sie die nachfolgenden Logs. Eine Passwortänderung entfernt keine bereits installierte Malware.

Welche Daten bei der Bestätigung helfen

Setzen Sie Benutzer, IP, Datum und Zeitzone des Zugriffs mit den betroffenen Dateien in Beziehung. Ein erfolgreicher Zugriff zeigt nicht unbedingt, welche Datei geändert wurde, und ein Änderungsdatum lässt sich manipulieren. Verknüpfen Sie mehrere Anzeichen und schreiben Sie den Vorfall nicht allein dem Land einer IP zu.

Unterscheiden Sie ein zusätzliches FTP-Konto von den Hauptzugangsdaten des Hostings. Ändern Sie das Hauptpasswort, aktualisieren Sie die legitimen Zugänge, die davon abhängen; gibt es SSH-Schlüssel, widerrufen Sie diese gesondert, wenn sie offengelegt wurden. SFTP verschlüsselt die Verbindung, verhindert aber nicht die Nutzung bereits gestohlener Zugangsdaten.