Latest / LautFunk / Die Abschweifung 61 WordPress gehackt – Meine Seite im Ausnahmezustand

Transcript

Die Abschweifung 61 WordPress gehackt – Meine Seite im Ausnahmezustand · LautFunk

• 0:00
  *Musik*
• 0:02
  [Musik]
• 0:31
  Hallo und willkommen zu einer neuen Ausgabe der Abschweifung, da wo ich gelegentlich vom
• 0:40
  Thema abschweife. Uiuiui, was für Tage! Die waren ziemlich intensiv. Kurz gesagt,
• 0:55
  Es gab einen Hack auf die Lautfunk-Webseite.
• 1:02
  Jo, das musste ich erst mal sacken lassen.
• 1:08
  Was ist passiert?
• 1:10
  Ich habe mich schon in der letzten Zeit gewundert,
• 1:17
  warum die Last auf den Server so hoch war.
• 1:24
  Man muss verstehen, um so eine Webseite im Internet zu haben, braucht man halt irgendeinen Anbieter,
• 1:32
  im einfachsten Fall so ein Webhosting. Auf Seiten, wo man eine größere Last hat,
• 1:41
  bietet es sich an, dass man einen eigenen Server hat. Und das ist halt wie zu Hause so ein Computer,
• 1:50
  wo halt ein Betriebssystem draufläuft und dort halt eine spezielle Software, die halt eine
• 1:57
  Web-Service anbietet. Also man kann dann von außerhalb oder auch bei Firmen intern auf diesen
• 2:10
  Server zugreifen, kann dann halt Dienste nutzen und in meinem Fall ist das halt ein WordPress.
• 2:19
  Meine Webseite besteht aus einem WordPress-Hintergrund oder setzt darauf auf. Dieses WordPress kann man
• 2:32
  halt mit Plugins erweitern. Was sind Plugins? Plugins sind ein Softwarecode, der die Funktionalität
• 2:43
  von WordPress erweitert. Und wie es halt schon immer war, Software ist einfach nicht sicher.
• 2:54
  Es gibt immer irgendwo eine Schwachstelle. Und auch wenn man sein System regelmäßig pflegt
• 3:03
  und auch immer die Updates einspielt – und das geht mittlerweile auch bei WordPress automatisch.
• 3:09
  WordPress kommt ursprünglich aus der Blogging-Szene, also war für personalisierte Blogs.
• 3:20
  Die Leute haben quasi wie so ein Online-Tagebuch geführt und dafür wurde das ausgelegt. Es ist
• 3:28
  weiter gewachsen, dann wurde es ein sogenanntes Content-Management-System. Man konnte halt
• 3:35
  Bilder reinladen, kurze Audio-Files, kleine Videoclips und das hat dieses WordPress alles
• 3:41
  verwaltet und das macht es heute zu einem besonders mächtigen Werkzeug, wenn man besonders
• 3:48
  vielseitige Webseiten haben will. Es gibt schnellere Lösungen für Webseiten, die nicht so viel
• 3:59
  Funktionalität haben sollen, sprich, wenn da einfach nur ein kleines Video angezeigt werden
• 4:05
  soll oder auch nur Bilder, dann kann man das mit anderen Lösungen viel schneller machen. Die Seiten
• 4:10
  sind dann hochgradig schnell.
• 4:13
  Aber so ein WordPress hat den Vorteil,
• 4:17
  dass man Kommentare schreiben kann,
• 4:21
  die dann sofort verfügbar sind.
• 4:24
  Beiträge sind
• 4:26
  ja mit den veröffentlicht und sofort verfügbar.
• 4:29
  Also das System ist dynamisch und erweitert sich.
• 4:33
  Und das macht das halt auch extrem komplex
• 4:37
  und auch anfällig.
• 4:40
  Man merkt es einfach so, dass wenn es eine neuere Version von WordPress gibt,
• 4:46
  gibt es in den ersten paar Wochen alle nasslang irgendwelche Updates mit Fehlerbehebungen.
• 4:52
  Und so ist das auch bei den Plugins, diese Erweiterung für neue Funktionen.
• 4:59
  Und zum Beispiel gibt es dort einen Plugin, was viele benutzen, die auch einen Podcast haben
• 5:06
  haben und den selber bereitstellen. Das nennt sich halt "Podlove Publisher" und das bildet
• 5:18
  sämtliche Funktionen ab, die man für einen Podcast braucht. Einmal, dass das halt auf
• 5:24
  der Webseite dargestellt wird, aber was viel wichtiger ist, dass der Feed, also eine spezielle
• 5:31
  Datei generiert wird, die halt Dienste oder auch halt die Person selber, wenn sie die hören wollen,
• 5:40
  mit einem Podcaster abonnieren können. Jetzt ist das ja so, weswegen sich halt
• 5:47
  Systeme wie WordPress halt anbieten, dass Kommentare schnell kommen und die werden
• 5:56
  dann auch in den Feed hinzugefügt. Wenn man neue Beiträge macht, jedes Mal wird das in
• 6:02
  diesen Feed hinzugefügt. In den frühen Anfängen von der Podcasterei hat man diesen Feed noch
• 6:11
  selber geschrieben. Das war eine XML-Datei, wo man halt alles per Hand eingetragen hat.
• 6:17
  Wo ist die Audio-Datei, wo ist die Bild-Datei und so weiter und so fort. Das war schon aufwendig
• 6:24
  und eine Fleißarbeit, wenn man halt viele Folgen hatte, weil man das halt immer wieder an oberster
• 6:32
  Stelle dran setzen musste. Und das nimmt einen Pottlauf einfach ab. Man hat halt eine schöne
• 6:39
  Webseite, auf den Besucher Kommentare hinterlassen können. Man kann dort wesentlich mehr darstellen,
• 6:49
  wie in den Feed. Und man hat halt auch so ein bisschen die spielerische Freiheit,
• 6:54
  dass man gestalten kann, dass es halt so ein persönliches Brand gibt, was halt auf Spotify
• 7:02
  oder bei RTL Plus, Amazon, überall da, wo man Podcasts hören kann, einfach nicht gegeben ist,
• 7:12
  weil es halt eine standardisierte Oberfläche ist. Kurz gesagt, viele in Deutschland benutzen halt
• 7:20
  den Potlov Publisher und genau der hatte jetzt eine Schwachstelle. Das jetzt großartig zu erklären,
• 7:30
  was da passiert ist oder so, macht ja wenig Sinn, weil wir rutschen ganz gewaltig ins Fachchinesisch
• 7:39
  Aber kurz gesagt, es war möglich gewesen, durch einen einfachen Befehl, den man einfach nur die
• 7:50
  Webseite geschickt hat, eine Datei in einen speziellen Bereich zu platzieren, mit der man
• 7:57
  halt die Möglichkeit hatte, Kontrolle über das System zu kriegen. Man konnte also eine
• 8:03
  sogenannte Backdoor, also eine Hintertür installieren. Und genau das ist passiert. Und
• 8:10
  das Erschreckende ist, das passierte innerhalb weniger Stunden auf ganz vielen Seiten,
• 8:18
  weil dieser Scan-Prozess und das Platzieren dieser Hintertür automatisiert stattgefunden hat. Also
• 8:29
  Bei allen Leuten, mit denen ich darüber gesprochen habe und die mir Teile ihrer Protokolle zur
• 8:38
  Verfügung gestellt haben, also aus den Logdateien, war halt immer dasselbe Muster zu sehen. Und so
• 8:45
  hat sich ein Bild abgezeichnet, auch aus den Verhalten der Seite. Aber was macht man jetzt,
• 8:52
  jetzt, wenn die eigene Webseite betroffen ist, das Wichtigste an erster Stelle
• 8:59
  Kühlengroß bewahren. Ich habe mich damit etwas schwer getan,
• 9:04
  weil es war Dienstag gewesen. Ich hatte Dienstag sowieso schon als
• 9:09
  ziemlich beschissenen Tag gehabt und als ich mich abends dann vorm Rechner
• 9:14
  gesetzt habe, habe ich gemerkt, dass irgendwas mit der Webseite nicht stimmt.
• 9:19
  Ich wollte noch was kurz checken, weil halt spätestens am Donnerstag ein neuer Blogbeitrag freigeschaltet wird, der online geht.
• 9:31
  Und ich noch quasi noch einen Podcast hatte, der am Dienstag online gehen sollte, aber am Dienstag irgendwie nicht online gegangen ist.
• 9:43
  Und dann habe ich gemerkt, die Seite reagiert komisch, die ist tierisch langsam.
• 9:48
  Es ist eine zu unwahrscheinlich hohe Last auf dem System.
• 9:54
  Und dann habe ich mich an meinen Anbieter gewendet, der den Server betreut.
• 10:01
  Und die sagten auch so, da ist was komisch, da stimmt was nicht.
• 10:05
  Wir haben uns geeinigt, dass wir die Webseite offline nehmen.
• 10:09
  Der schnellste Weg war gewesen, einfach das Verzeichnis, wo halt die Webseite ist, kurz umzubenennen,
• 10:17
  so dass die halt nicht mehr zur Verfügung steht, ich aber Zugriff auf alle Daten habe.
• 10:23
  Also habe ich mich halt mit einem anderen Programm auf die Seite geschaltet
• 10:29
  und habe dann halt angefangen, mir die Sachen alle runterzuziehen, damit ich sie lokal habe.
• 10:35
  Und da sind mir halt aufgefallen, dass in bestimmten Verzeichnissen bestimmte Dateien
• 10:41
  waren.
• 10:42
  Nachdem ich das halt identifiziert hatte, habe ich mir gedacht, gut, dann machst du
• 10:48
  jetzt halt ein Backup von vor drei Tagen, da müsstest du ja quasi nur noch ein paar
• 10:55
  bestimmte Dateien ersetzen, Bilder vor allen Dingen, und dann müsste es laufen.
• 11:00
  Am nächsten Tag, gegen 10 Uhr, war die Seite wieder infiziert.
• 11:06
  Und dann war mir klar gewesen, das muss eine größere Sache sein.
• 11:10
  Ich habe dann die Seite wieder offline genommen, habe geguckt gehabt, gut, in den Verzeichnissen,
• 11:17
  wo vorher schon Sachen drin waren, waren jetzt auch Sachen drin, die waren vorher nicht da.
• 11:23
  Ich hatte ja ein sauberes Backup installiert.
• 11:24
  Und dann war gut, jetzt musste ich gucken, wo dran es liegt. Ich mich nochmal mit meinen
• 11:33
  Anbietern in Verbindung gesetzt. Wir haben zusammen die Protokolle, die Logdateien durchgesehen und da
• 11:40
  sind uns ein paar Sachen aufgefallen. Das wäre jetzt auch wieder zu technisch, das zu erzählen,
• 11:46
  aber kurzum, man hat gesehen gehabt, dass halt immer der gleiche Weg gegangen ist. Über einen
• 11:54
  speziellen Bereich, den Cache-Bereich vom Potlov, wurde eine Datei platziert, danach wurde eine
• 12:01
  andere Datei in einen anderen Verzeichnis platziert und damit war halt die Backdoor komplett da.
• 12:07
  Ja, damit wussten wir jetzt was und wie. Wir wussten nur nicht halt, wie groß der Schaden ist. Also
• 12:18
  habe ich mich hingesetzt und habe mal kurzerhand den Erik angeschrieben, den Hauptentwickler von
• 12:24
  On Pod Love. Der hatte mir gesagt gehabt, dass er schon vor ein paar Tagen von der Lücke wusste,
• 12:31
  auch ein Patch veröffentlicht hat, den aber bei – oh Gott, wie heißt die Seite? – auf jeden Fall
• 12:40
  bei einem Anbieter, der für Internetsicherheit verantwortlich ist, einer Organisation genauer
• 12:49
  gesagt, und hat dort die Dateien eingereicht und hat gesagt, könnt ihr mir checken, ob das immer
• 12:56
  noch möglich ist, diesen Angriff zu machen. Kurz gesagt, die neue Version, die gefixte, war sauber.
• 13:03
  Wir hatten noch ein bisschen mit hergeschrieben, weil ich ja auch Beta-Tester bin und quasi auch
• 13:10
  eine neuere Version, die Funktionalität-Tester, ob das auch in der Version wäre. Da saßte er,
• 13:17
  nee, das hat er noch nicht gemacht, aber er macht das gleich und eine Viertelstunde später war die
• 13:22
  aktualisierte Revision da. Daraufhin habe ich mich halt hingesetzt gehabt und habe mich hingesetzt
• 13:31
  und habe statt ein Backup wieder aufzuspielen, habe ich einfach ein neues WordPress installiert,
• 13:39
  das geht relativ einfach, habe dann aus den Ordner, wo die ganzen Bilder sind,
• 13:46
  mit denen nochmal akribisch durchgegangen und alles was nicht im Bild ist gelöscht,
• 13:51
  habe den dann hochgeladen, habe dann den Ordner mir aufgemacht, wo die ganzen Erweiterungen drin
• 13:59
  sind, die Plugins, habe die alle nacheinander sauber installiert und sehe da, die Webseite
• 14:06
  ist wieder da, sehr performant und bis jetzt habe ich halt noch keine Re-Infektion, weil ich beobachte,
• 14:16
  ich das System sehr genau, auch die gesamten Prozesse, die laufen und bin echt froh, dass
• 14:24
  das so einfach ging. Im Endeffekt hat das Ganze jetzt zwei Tage gedauert und es tut mir leid,
• 14:31
  dass die Webseite, der Podcast oder die Podcast-T, weil es laufen ja mehrere darüber,
• 14:40
  eine Zeit lang halt einfach mal offline waren und in keinster Weise irgendwie jemand wusste,
• 14:48
  was Sache ist, weil ich hätte noch nicht einmal großartig jetzt halt einen sogenannten Main
• 14:55
  Trends – scheiße, spricht man anders aus – auf jeden Fall eine Meldung machen können,
• 15:02
  dass die Seite gerade offline ist, sondern umgebaut wird oder sowas. Hätte ich zwar
• 15:11
  halt als HTML machen können, aber dann hätte ich jetzt halt nicht zwischendurch testen können,
• 15:15
  weil dann ja immer die HTML-Seite da ist. Oder ich hätte mir zu Hause halt einen kleinen
• 15:19
  Webserver virtuell machen müssen. Ja, was soll ich dazu sagen? Ist halt eine ziemlich dumme Sache,
• 15:30
  dass das so gelaufen ist und das mit der Infektion ist auch eine ziemlich blöde Sache.
• 15:36
  Mir tut der Entwickler leid, der Software, weil der jetzt einen Haufen Leute hat,
• 15:46
  die sich Hilfe suchen an den Wänden. Ja, da muss man jetzt mal abwarten, was passiert. Aber das ist
• 15:54
  ungefähr das zu, was ich jetzt gemacht habe und das war auch mit Absprache des Anbieters
• 16:03
  meines Servers die gescheitere Version, weil nochmal ein Backup zu installieren und gegebenenfalls das
• 16:12
  Problem haben, dass da schon eine Backdoor installiert war und dass dann darüber wieder
• 16:17
  Reinfektion kommt, der Seite ist einfach so hoch. Ich kenne jetzt mehrere Leute, die betroffen sind.
• 16:25
  Ich bin mir sicher, es sind auch noch viele Leute unterwegs, die keine Ahnung haben, dass sie halt
• 16:34
  das Problem haben. Das wird sich in der nächsten Zeit zeigen. Was lernen wir aus dieser Sache?
• 16:40
  Sache, dass in der Informatik, dass in der IT, dass in den Programmierwesen eine Weisheit immer
• 16:55
  recht hatte und immer eine große Konstante ist. Kein System ist umheckbar. Man kann noch so weit
• 17:07
  denken, noch so weit in die Zukunft denken. Und da würde ich auch gerne den Erik zitieren,
• 17:14
  der gestern, nee, heute geschrieben hatte, dass er sich darüber jetzt einen Riesenkopf macht,
• 17:21
  ob er damit hätte einfach anders umgehen sollen, ob er die Lücke nicht vielleicht schon eher
• 17:29
  kommunizieren sollen, aber dann im Endeffekt aber auch halt riskieren, dass halt noch mehr Leute
• 17:35
  darauf aufmerksam werden, dass es diese Lücke gibt. Und da man ja sieht, dass dieser Angriff
• 17:41
  vollkommen automatisiert war, hätte diese frühzeitige Kommunikation höchstens dazu
• 17:48
  geführt, dass die Leute schneller darauf aufmerksam geworden wären und nicht zu dem
• 17:56
  Zeitpunkt, wo es ja quasi schon ein Patch gab. Tja, es ist wirklich blöd. Ich habe jetzt zwei
• 18:06
  Tage, also zwei Arbeitstage für mich, was keine Relation ist zu einem normalen Arbeitstag,
• 18:14
  damit verbracht. Die Seite wieder zum Laufen bringen, einmal ohne Erfolg, weil ich wurde
• 18:21
  wieder reinfiziert und dann einmal der saubere Weg. Das längste, was bei dieser Prozedur gedauert hat,
• 18:29
  ist einfach die unglaubliche Menge an Daten. Ich glaube, die infizierte Version herunterzuladen
• 18:40
  waren ungefähr 72.000 Dateien. Die sind winzig klein, das ist nicht viel. Also die gesamte Seite
• 18:49
  hat mit den Bildern so ungefähr 1,2 Gigabyte Daten gehabt. Aber dadurch, dass halt so viele
• 18:59
  Dateien sind, ist der Download-Vorgang halt schon ein bisschen länger. Auch wenn ich vier Stück
• 19:05
  gleichzeitig heruntergeladen habe, dauert das halt seinerzeit. Und das Gleiche ist ja auch mit dem
• 19:11
  Hochladen. Ich habe zwar schon eine ziemlich schnelle Internetverbindung, aber es ist ein
• 19:18
  Unterschied ob ich jetzt mit 250 Megabit herunterlade, aber mit 50 hochlade. Da hat
• 19:30
  das natürlich ein bisschen länger gedauert. Jetzt muss man aber sagen, ich habe ja nicht
• 19:33
  alles wieder hochgeladen, sondern nur den Ordner mit den mit den Bildern. Das waren
• 19:38
  dann nur knapp 20.000 Dateien. Jetzt fragt man sich, wie bitte, wie viele Bilder hast du auf
• 19:44
  dieser Seite. Ja, jedes Bild hat mehrere
• 19:49
  Visionen in verschiedenen Größen, weil ich
• 19:52
  muss ja nicht eine riesige Datei
• 19:53
  übertragen, die auf dem PC mit einem großen
• 19:56
  Monitor richtig toll aussieht, aber auf
• 19:59
  dem Handy ja winzig kleines. Da kann ich
• 20:01
  ja auch eine kleine Datei nehmen.
• 20:03
  Also habe ich mindestens vier Größen von
• 20:07
  jedem Bild. Und dann kommen ja noch die
• 20:09
  Vorschaubilder, die irgendwo klein sind,
• 20:14
  und da noch und da noch und schubdiwupps hat man aus einem Bild mal eben zehn Dateien. Und so addiert
• 20:21
  sich das. Dieser Blog, beziehungsweise der Podcast, gibt es seit 2018, seit April 2018. In diesem
• 20:30
  Zeitraum ist ungefähr regelmäßig, manchmal wöchentlich, manchmal zwei oder dreimal in der
• 20:37
  Woche, irgendetwas gepostet worden, wo Bilder drin waren. Und so ergibt sich einfach diese Menge. Dann
• 20:44
  Die Seite selber hat ja auch Bilder. Es werden automatisch diese Vorschaubilder noch gemacht,
• 20:52
  also für die Seite, wo die Bilder angezeigt werden für die Beiträge. Also es sind einfach eine
• 21:01
  Unmenge an Bilder, die gemacht werden. Das sind zwar alles kleine Dateien, weil die halt auf
• 21:06
  eine sehr niedrige Auflösung sind, aber es sind halt Dateien. So viel dazu. Also man kann sehen,
• 21:15
  wenn man eine eigene Webseite betreibt und kein Unternehmen ist, wo man 24 Stunden
• 21:21
  irgendwelche Ansprechpartner hat, dann hat man, wenn man morgens aufwacht, schon was ordentliches,
• 21:31
  was man erleben kann. Ich bedanke mich für eure Aufmerksamkeit und sage Tschüss, euer Sascha.
• 21:40
  [Musik]
• 21:43
  [Musik]
• 21:46
  [Musik]
• 21:52
  [Musik]
• 21:58
  [Musik]
• 22:04
  [Musik]
• 22:10
  [Musik]
• 22:13
  [Musik]
• 22:19
  [Musik]
• 22:25
  [Musik]
• 22:31
  [Musik]
• 22:37
  [Musik]
• 22:40
  [Musik]
• 22:46
  [Musik]
• 22:52
  [Musik]
• 22:58
  [Musik]
• 23:04
  [Musik]
• 23:07
  [Musik]
• 23:13
  [Musik]
• 23:19
  [Musik]
• 23:25
  [Musik]
• 23:31
  [Musik]
• 23:34
  [Musik]
• 23:40
  [Musik]
• 23:46
  [Musik]
• 23:52
  [Musik]
• 23:58
  [Musik]
• 24:01
  [Musik]
• 24:07
  [Musik]
• 24:13
  [Musik]
• 24:19
  [Musik]
• 24:25
  [Musik]
• 24:28
  [Musik]
• 24:35
  [Musik]
• 24:41
  [Musik]
• 24:53
  [Musik]
• 24:56
  [Musik]
• 25:02
  [Musik]
• 25:08
  [Musik]
• 25:14
  [Musik]
• 25:21
  [Musik]
• 25:24
  [Musik]
• 25:30
  [Musik]
• 25:36
  [Musik]
• 25:42
  [Musik]
• 25:48
  [Musik]
• 25:59
  [Musik]