Ich beginne damit, was mit Ihrem aktuellen System zu tun ist:

1. Steigen Sie ein und sichern Sie alles.
2. Es sei denn, Sie können major demonstrieren Verluste (über 10.000 USD), ich würde nicht einmal darüber nachdenken, Strafverfolgungsbehörden einzubeziehen. Sie haben alle Hände voll zu tun, und angesichts der aktuellen Muster im Internet ist es sehr wahrscheinlich, dass sich Ihr Täter in einem anderen Land befindet als Sie. Niemand wird ein Auslieferungsverfahren für gehackte Wordpress-Sites durchführen. (Entschuldigung, ich weiß, dass es schwer zu hören ist, aber es ist die Realität.)
3. Brennen Sie den aktuellen Server zu Boden.
4. Betrachten Sie jedes Passwort auf Ihrem alten Server als gefährdet.
ol>

Wie können Sie nun einen neuen Server erstellen, um zu verhindern, dass dies erneut geschieht? Ich werde einige Annahmen treffen, die auf dem basieren, was Sie in Ihrem Beitrag geschrieben haben:

• Mehrere Wordpress-Installationen.
• mod_php auf Apache
• CPanel / WHM

Hier einige Empfehlungen:

1. Holen Sie sich Ihren neuen Server.
2. Führen Sie eine Neuinstallation Ihrer Anwendungen durch und richten Sie sie ein starke Kennwörter / Anmeldeinformationen, die nichts mit Ihren alten zu tun haben.
3. Konfigurieren Sie SELinux so, dass die Gefährdung jeder Site so weit wie möglich begrenzt wird.
4. Sei vorsichtig, welche WordPress-Plugins du installierst. Sie haben eine viel schlechtere Sicherheitsbilanz als WordPress Core.
5. Stellen Sie sicher, dass Verzeichnisse, die vom Webserver beschreibbar sind, niemals Dateien als PHP interpretieren.
6. Verwenden 2-Faktor-Authentifizierung für alles, was Sie können.
   • CPanel
   • SSH
   ol>

   Ohne digitale Forensik auf Ihrem System durchführen zu können, ist es schwer zu wissen, aber ich werde mich auf die Nerven legen und raten, was passiert ist:

   1. Der Angreifer führt einen Scanner aus, der nach anfälligen Wordpress-Installationen sucht.
   2. Der Angreifer findet anfällige Wordpress-Dateien auf Ihrem Server. Ruft RCE als Webserver ab.
   3. Gibt Kennwort-Hashes für WordPress-Datenbanken aus.
   4. Knackt Kennwort-Hashes, von denen einer mit einem WHM / CPanel-Kennwort übereinstimmt.
   5. Geht in CPanel. Vielleicht als Administrator, oder vielleicht hatte die Version von CPanel einen Fehler, der eine Eskalation von Berechtigungen für den Administrator ermöglicht.
   ol>

   Sie sprechen von Angst vor Vergeltungsmaßnahmen und dem Angreifer, der Ihnen immer wieder nachkommt. Wenn dies nicht persönlich ist (eine Art Rache), würde ich mir darüber keine Sorgen machen. Angreifer wie dieser wechseln einfach zu ihrem nächsten kompromittierten Host. Gib ihnen nur keine weitere Chance.

Davids Antwort gab einige ausgezeichnete Empfehlungen (denen ich sehr empfehlen kann, dass Sie folgen). Ich werde meine Antwort stattdessen auf Ihre spezifischen Ängste konzentrieren, um sie zu lindern.

Was ich erreichen möchte, ist, so viele Informationen wie möglich über den Hacker zu erhalten. Ich möchte meine Legacy-Backups herunterladen. Ich möchte so schnell wie möglich ein- und aussteigen.

Sie sagen, Sie möchten so viele Informationen wie möglich über diese Person erhalten. Dies ist möglicherweise nicht praktikabel, wenn sie irgendeine Form von Anonymität verwendet haben. Die Analyse nach der Pause ist natürlich immer noch wichtig. Der erste Schritt wäre eine vollständige Sicherung der Festplatte. Wenn Sie das System noch nicht heruntergefahren haben, seit es kompromittiert wurde, können Sie möglicherweise auch eine Momentaufnahme des Speichers auf dem System erstellen, um später eine forensische Analyse durchführen zu können. Der Speicher enthält weitaus mehr Informationen über den Angreifer, da er nicht zuverlässig steuern kann, was im Speicher verbleibt, während sehr einfach verhindert werden kann, dass wertvolle Informationen in einem dauerhaften Speicher gespeichert werden. Aus diesem Grund ist es wahrscheinlich, dass Sie die deaktivierten Protokolle nur erhalten können, wenn sie bereits vorhanden sind und anschließend gelöscht wurden.

Meine Vorsichtsmaßnahmen bestehen darin, hinter einem Killswitched-VPN zu bleiben und so wenig Zeit wie möglich zu verbringen

Aufgrund der Architektur von VPNs gibt es eine Reihe von Methoden, mit denen Hacker die ursprüngliche IP hinter einem VPN abrufen können. Die Verwendung von Tor oder einem ähnlichen Anonymitätsnetzwerk wäre vorzuziehen. Es ist möglicherweise nicht ratsam, so wenig Zeit wie möglich zu verbringen, da Sie möglicherweise etwas Wichtiges verpassen. Ein bisschen länger zu bleiben erhöht nicht die Wahrscheinlichkeit, dass Sie entdeckt werden. Der Hacker könnte sogar denken, dass Sie ein anderer Hacker sind, der dieselbe Sicherheitsanfälligkeit ausgenutzt hat. Wenn sie Sie bemerken, werden Sie wahrscheinlich einfach vom Server getrennt.

Die serverseitigen SSH-Protokolle enthalten wahrscheinlich ohnehin Ihre Privatadresse. P. >

Gibt es eine Möglichkeit, diese deaktivierten Protokolle irgendwie wiederherzustellen? Worauf sollte ich noch achten, wenn das Ziel darin besteht, genügend Daten zusammenzustellen, um diesen Kerl in die Behörden zu verwandeln?

Wenn die Protokolle deaktiviert wären, können Sie dies wahrscheinlich nicht rufe sie ab. Wenn sie noch geschrieben, aber nur gelöscht wurden, können Sie sie möglicherweise aus dem nicht zugewiesenen Dateisystemspeicher wiederherstellen. Wenn das System seit dem Kompromiss nicht heruntergefahren wurde und Sie keine vollständige Momentaufnahme des Systemspeichers erstellen können, ist es unwahrscheinlich, dass Sie die in den Protokollen angegebenen Informationen abrufen können.

Wie David bereits erwähnt hat, werden Sie wahrscheinlich nicht viel davon bekommen, wenn Sie Strafverfolgungsbehörden einbeziehen. Das Beste, was Sie aus diesen Informationen herausholen können, ist, mehr darüber zu wissen, wie der Hacker eingebrochen ist, damit Sie das von ihnen ausgenutzte Loch schließen und in Zukunft vermeiden können.

Meine Angst ist Selbst mit einem neu abgebildeten Server und all der Härtung, zu der ich in der Lage bin, kennt dieser Typ meine Site-Domains und wird wahrscheinlich erneut angreifen. Ich nehme an, dies sollte eine separate Frage sein, aber sollte ich mich darauf vorbereiten, meine Domains aufgrund seines Könnens ganz aufgeben zu müssen? Ich hasse es, es zu tun, aber ich fürchte, er wird alles tun, um den Server und die Sites wieder zu zerstören, und dann wie zuvor mein Heimnetzwerk und alle Geräte zerstören.

Ehrlich gesagt müssen Sie sich keine Sorgen um Vergeltungsmaßnahmen machen. Sie sind nur zufällige Sicherheiten für ihre Aktivitäten, kein sorgfältig ausgewähltes Opfer. Sie werden sich wahrscheinlich in einer Woche nicht einmal mehr an Ihre Domain erinnern. Natürlich sind dies Verallgemeinerungen, und wenn Sie einen tatsächlichen Feind mit einer persönlichen Rache gegen sich haben, sind die Dinge etwas anders. Es gibt einige mögliche Klassifizierungen, die zu Ihrem Angreifer passen könnten:

• Neugierig - Ein Hacker, der in eine Site einbricht, weil er neugierig ist oder seine Hacking-Fähigkeiten verbessern möchte, tut dies oft ohne Rücksicht auf die Ergebnisse seiner Aktionen, aber das sind sie nicht raus, um dich zu kriegen. Wenn Sie sie aussperren, möchten sie vielleicht einen Weg finden, wieder hineinzukommen, aber sie werden wahrscheinlich nicht böse sein. Sie könnten es sogar als Herausforderung ansehen.

• Krimineller - Ein rein krimineller Hacker kann durch den Angriff auf Server wie Geld oder digitale Ressourcen etwas gewinnen . Sie werden keine Zeit mit Rache verschwenden. Diese Angreifer sind wie Wasser. Sie suchen den Weg des geringsten Widerstands.

• Automatisiert - Es ist sehr wahrscheinlich, dass keine Person Ihre Website angegriffen hat. Ein kriminelles Unternehmen möchte die Gewinne maximieren. Um effizienter zu sein, automatisieren sie häufig Angriffe. Ein Skript kann das Internet nach anfälligen Diensten durchsuchen und diese angreifen. Nach dem Einbruch erledigt es seine Drecksarbeit und versucht, die Persistenz herzustellen. Sie können ein Skript nicht verärgern.

• Skriptkind - Ein Skriptkind ist ein Junior-Hacker, der glaubt, alles zu wissen. Es ist wahrscheinlicher, dass sie sich rächen, weil sie möglicherweise die Wiederherstellung Ihres Servers als persönlich ansehen. Sie verfügen nicht über die erforderlichen Fähigkeiten, um Ihrem Heimnetzwerk echten Schaden zuzufügen. Das Schlimmste, was sie tun können, ist zu versuchen, Sie zu DDoS. Mach dir keine Sorgen um sie.

• Persönlicher Feind - Wenn Sie einen tatsächlichen Feind mit einer persönlichen Rache gegen sich haben, müssen Sie sich mehr Sorgen machen . Da Sie keinen Hinweis darauf gegeben haben, dass dies der Fall ist, gehe ich davon aus, dass dies nicht der Fall ist.

Die Chancen stehen gut, dass seine Fähigkeiten nicht so hoch sind, wie Sie denken. Das Eindringen in eine Wordpress-Site und das Hinzufügen einer Hintertür erfordert keinen Fachmann. Daher würde ich mir keine Sorgen machen, Ihre Domains loszuwerden. Es ist absolut möglich, sich vor diesem Hacker zu schützen, indem Sie den Rat in einer anderen Antwort verwenden. Sobald die Website einer anderen Person anfälliger ist als Ihre, geht ein Hacker weiter.

In diesem Fall wissen Sie nicht, wie der Angreifer eintreten konnte. Sie können also zu Recht befürchten, dass genau dasselbe erneut passiert, selbst wenn Sie eine vollständige Neuinstallation durchführen. Um dieses Problem zu beheben, sollten Sie Ihr System für die Remote-Protokollierung konfigurieren. Ein dedizierter separater Computer speichert Systemprotokolle, die nicht manipuliert werden können. Sie sollten Ihr Webserver-Zugriffsprotokoll so konfigurieren, dass zusätzlich zum regulären Systemprotokoll eine Echtzeitkopie an den Protokollierungsserver sowie alle sicherheitsrelevanten Elemente gesendet werden. Die Protokolle sollten getrennt sein, damit die anderen nicht beeinträchtigt werden, wenn eines zu groß wird und gekürzt werden muss.

Sie wissen nicht, wie sie eingegangen sind. Ihr eigener Computer könnte kompromittiert werden und das Passwort könnte abgefangen worden sein. Jemand vom VPS-Anbieter hätte darauf zugreifen können, oder jemand, der neben Ihrem einen anderen VPS mietet, könnte etwas ausgenutzt haben. Unter der Annahme, dass diese Dinge nicht geschehen sind, besteht der nächste Schritt möglicherweise darin, sicherzustellen, dass alle anfälligen Elemente bei der neuen Installation aktualisiert werden, und anschließend Sicherheitssoftware wie SELinux zu konfigurieren. Stellen Sie sicher, dass Verstöße gegen SELinux-Richtlinien an den Remote-Protokollierungsserver gesendet werden.

Meine Vorsichtsmaßnahmen sind, hinter einem Killswitched-VPN zu bleiben und dort so wenig Zeit wie möglich zu verbringen.

Das ist infosec voodoo. Angenommen, Sie befinden sich mit PAT hinter einem Router, hat der Angreifer keine Möglichkeit, eine Verbindung zu Ihnen herzustellen. Tatsächlich erstellt das VPN einen Tunnel durch die PAT-Schicht, sodass Sie Ihre Exposition tatsächlich erhöhen, indem Sie ihn verwenden! (Obwohl die VPN-Richtlinie möglicherweise eingehende Verbindungen verhindert.)

Das weitaus größere Risiko besteht darin, dass die Eingabe Ihres Kennworts gefährlich ist, wenn der Angreifer weiterhin Zugriff auf das gefährdete System hat, dh die interaktive SSH-Anmeldung oder das Sudo-Kennwort könnte von einem Root-Benutzer auf dem gefährdeten System gestohlen werden. Wenn Sie die Authentifizierung mit öffentlichem Schlüssel konfiguriert haben, ist dies sicher zu verwenden, solange Sie kein sudo verwenden. Beachten Sie jedoch meinen Hinweis zu Sicherungen ...

Die beste Vorgehensweise besteht darin, die Festplatte zu entfernen Fahren Sie vom gefährdeten Computer aus und analysieren Sie ihn forensisch auf einem separaten Computer (ein Fachmann würde einen forensischen Schreibblocker verwenden), damit der Angreifer nicht eingreifen kann.

Als VPS-Kunde können Sie dies nicht selbst tun. Wenn Ihr Provider nicht bereit ist, dies für Sie zu tun (unwahrscheinlich, da dies andere Mandanten auf derselben Hardware stören würde), sollten Sie den VPS besser löschen und von vorne beginnen.

Hoffentlich kann ich das bekommen Was ich von Backups und [snip]

benötige Backups sollten immer auf einem separaten System gespeichert werden. Wenn Ihre einzigen Backups auf dem gefährdeten Dienst gespeichert sind, haben Sie sich in eine sehr schlechte Position gebracht. Wenn Sie ein Kennwort eingeben müssen, um zu den Sicherungen zu gelangen, kann der Angreifer Ihr Kennwort stehlen.

Selbst wenn Sie kein Kennwort eingeben müssen (z. B. Authentifizierung mit öffentlichem Schlüssel), würden Sie Daten wiederherstellen, gegen die bereits verstoßen wurde. Wenn der Angreifer zuvor eine Hintertür installiert hätte, würde diese Hintertür in den Backups gespeichert und Sie würden diese Hintertür auf Ihrem neuen Server wiederherstellen! Wenn der Angreifer das System auf andere Weise kompromittiert hat, hat der Angreifer möglicherweise eine Hintertür in Ihre Backups eingefügt, um nach dem erneuten Image wieder Zugriff zu erhalten.

Gibt es eine Möglichkeit dazu Diese deaktivierten Protokolle irgendwie wiederherstellen?

Ja, es ist möglich, gelöschte Protokolldaten mithilfe der forensischen Analyse wiederherzustellen. Aus den oben genannten Gründen ist dies jedoch wahrscheinlich keine verfügbare Option für Sie.

Alternativ kann Ihr Provider Protokolle darüber haben, welche IP-Adressen mit seinen Systemen verbunden sind, und er ist möglicherweise bereit, diese Daten mit Ihnen zu teilen, wenn Sie freundlich fragen.

Ich befürchte, dass dieser Typ trotz eines neu abgebildeten Servers und all der Härtung, zu der ich in der Lage bin, meine Site-Domains kennt und wahrscheinlich erneut angreifen wird.

Ich bin es nicht wirklich sicher, was du mit "Domains" meinst. Sie können Ihr vorhandenes Hosting-Konto und Ihre Domain-Namen beibehalten, vorausgesetzt, Ihr Passwort wurde auf etwas Sicheres zurückgesetzt.

Das wahrscheinlichste Szenario ist, dass Sie aufgrund einer nicht gepatchten Sicherheitsanfälligkeit in WordPress oder einem Ihrer Plugins kompromittiert wurden (oder benutzerdefinierten Code, wenn Sie selbst etwas davon geschrieben haben). Um zukünftige Kompromisse zu vermeiden, müssen Sie bei Null anfangen (keine Datensicherung verwenden) und sicherstellen, dass alle Ihre Anwendungen und Plugins die neueste Version sind. Deaktivieren Sie alle Plugins, die Sie nicht unbedingt benötigen.

Es hört sich so an, als wären Sie etwas über Ihrem Kopf. Sie verwalten komplexe Software selbst und wissen nicht, wie der vorherige Kompromiss aufgetreten ist. Vielleicht sollten Sie Ihre Website zu einem Anbieter verschieben, der bessere Patches und Sicherheit bietet, z. B. Hosting über WordPress.com, damit die Verantwortung nicht zu 100% bei Ihnen liegt.

Die meisten Hosting-Anbieter stellen ein kleines Betriebssystem-Image zur Verfügung (mit dem die Erstinstallation des Betriebssystems erleichtert werden soll, wenn ein Client ein benutzerdefiniertes Betriebssystem wünscht, oder um Fehler zu beheben, die das Booten des Betriebssystems verhindern; normalerweise als "Rettungssystem" oder ähnliches bezeichnet) Sie können booten und Zugriff auf das gefährdete VPS erhalten, ohne jemals Malware zu starten, die die Angreifer dort abgelegt haben könnten. Sie mounten einfach Ihre Volumes, kopieren alle erforderlichen Daten und überprüfen sie nach Belieben.

Wenn Sie dies nicht tun können, besteht Ihr einziges Anliegen darin, den Angreifern keine weiteren Angriffsvektoren zu gewähren. Stellen Sie sicher, dass Sie keine SSH-Agentenweiterleitung, X11-Weiterleitung und dergleichen verwenden. Tarieren Sie einfach die interessanten Dateien und scpen Sie dann die TAR-Datei von Ihrem lokalen Computer. Oder machen Sie etwas wie ssh -C root @ kompromittierter Host cat / dev / the-root-Gerät >compromised-root-dev.img , wenn Sie wissen, was mit dem Bild zu tun ist.

Oder bitten Sie den Hosting-Anbieter, ein Dateisystem-Image zu erstellen und es Ihnen auf irgendeine Weise zu senden (was dem gleichen Verfahren entspricht, mit dem ich begonnen habe).

Gibt es eine Möglichkeit, diese deaktivierten Protokolle irgendwie wiederherzustellen?

Ja.

Wenn die gesamte virtuelle Maschine Ihnen gehört (und Sie nicht) Geben Sie eine Sicherungskopie Ihrer gesamten virtuellen Maschine ab. Mach das sofort. Dies schließt alle Protokolle ein, über die Ihr Computer verfügt.

Fragen Sie Bluehost auch nach den relevanten Protokollen, die sie bereitstellen können. Tun Sie das sofort, damit sie die Protokolle nicht verlieren. (An vielen Stellen werden Protokolle im Laufe der Zeit ausgefahren. Stellen Sie daher sicher, dass jemand Protokolle aufbewahrt, von denen angenommen wird, dass sie potenziell interessant sind.)

Konzentrieren Sie sich dann darauf, eine sichere Maschine betriebsbereit zu machen. (Wie BlueHost erwähnt, handelt es sich wahrscheinlich um ein erneutes Laden des Betriebssystems.) Stellen Sie sicher, dass Ihre Daten sicher sind. (Wenn Ihre Daten beispielsweise Informationen zu Konten enthalten und ein Konto enthalten, über das der Angreifer Zugriff erhält, ist dies nicht sicher.) Lassen Sie diesen sicheren Computer die von Ihnen geschätzten sicheren Daten verwenden. Tun Sie das alles so schnell wie möglich.

Worauf sollte ich noch achten, wenn das Ziel darin besteht, genügend Daten zusammenzustellen, um diesen Kerl in die Behörden zu verwandeln?

Woher kommt dieser Angreifer? Wer ist dieser Angreifer?

Wie Forest feststellt, ist es unwahrscheinlich, dass sich "Behörden" darum kümmern. Möglicherweise wurden Sie von einer anderen kompromittierten Maschine angegriffen. Daher ist die Person, die diese Maschine besitzt, auch ein Opfer, und der Versuch, diese Person legal anzugreifen, wird wahrscheinlich niemandem viel nützen. Was Sie tun müssen, ist, nach der Person zu suchen, die den Angriff wirklich initiiert hat. Da mehrere Umleitungsmethoden möglich sind, sind viele Angreifer leider nicht nachvollziehbar.

Ich befürchte, dass dies auch mit einem neu abgebildeten Server und all der Härtung, zu der ich in der Lage bin, möglich ist Der Typ kennt meine Site-Domains und wird wahrscheinlich erneut angreifen.

Ja. Das ist ein Problem. Bis die Person gestoppt wird, gibt es ein solches Potenzial. Hoffentlich können Sie die nächsten Angriffe erfolgreicher verhindern. Fortlaufende Schulungen und Bemühungen sollten Sie an diesen Punkt bringen, hoffentlich eher früher als später. Stellen Sie in der Zwischenzeit sicher, dass Sie über gute, zugängliche Sicherungen verfügen und nachts gut schlafen, da Sie wissen, dass Sie die Sicherung wiederherstellen können.

Ich nehme an, dies sollte eine separate Frage sein, aber ich sollte mich darauf vorbereiten dafür, dass ich meine Domains aufgrund seiner Fähigkeiten ganz aufgeben muss?

Nein. Gib nicht nach.

Ich hasse es, es zu tun, aber ich fürchte, er wird alles tun, um den Server und die Websites wieder zu zerstören,

Dies kann passieren, wenn Sie den Server nicht erfolgreicher sichern. Versuchen Sie, Zeit damit zu verbringen. Stellen Sie außerdem sicher, dass Sie gute Backups haben. Vertraue nicht nur Bluehost. Ich versuche nicht, etwas Schlechtes über Bluehost zu sagen. Ich sage, vertraue nicht nur einer Sicherungslösung, besonders , wenn Probleme zu erwarten sind.

Dann gehe wie zuvor vor, um mein Heimnetzwerk und alle Geräte zu zerstören.

Oh, das ist einfach schrecklich. Warum würde eine Beschädigung einer virtuellen Remote-Maschine, die auf einer professionellen Hosting-Site ausgeführt wird, Ihr Heimnetzwerk beeinträchtigen? In diesem Fall treten einige schwerwiegende Sicherheitsprobleme auf.

Lohnt sich das überhaupt? Er ist weitaus schlimmer als das, was er getan hat, und ich habe Angst vor Vergeltungsmaßnahmen.

Sichern Sie Ihre Website.
Sichern Sie wichtige Daten in Ihrem Heimnetzwerk.

Wenn Sie dies gut machen, können Sie sich auch dann noch erholen, wenn Diebstahl möglich ist (eine Kopie vertraulicher Informationen kann gestohlen werden).

Holen Sie sich einfach ein Image des Webserver-Laufwerks. Das Mounten auf einer neuen virtuellen Maschine ist unwahrscheinlich. Der Code vom bereitgestellten Laufwerk sollte nicht ausgeführt werden. Sie können die Daten nach Belieben einsehen.

Es ist mit Sicherheit nicht sicher, eine Verbindung zu einem gefährdeten Computer mit einem RAS-Protokoll herzustellen. Während Server ständig verfügbar sind, um kompromittiert zu werden, kann Client-Software, die eine Verbindung zu einem schädlichen Server herstellt, ausgenutzt werden (falls ein Exploit vorhanden ist).

Der Versuch, Ihren Webinhalt aus dem Inhalt auf dem bereitgestellten Laufwerk wiederherzustellen, ist wahrscheinlich fehlerhaft empfohlen. Änderungen an Codedateien können sehr versteckt und schwer zu finden sein. Mit PHP können sie problemlos eine Hintertür zu Ihrem nächsten VPS-Computer bereitstellen ...

Inhalte in der SQL-Datenbank können so geändert werden, dass sie Code enthalten, mit dem Besucher Ihrer Website angegriffen werden können.

Wenn Sie möchten Ihre Site wirklich härten WordPress loswerden. Mit statischen Site-Generatoren (Gatsby, Jekyll usw.) werden wunderbare Dinge getan.

Wie einige Informationen hier anspielten - Wenn Sie diese gefährdeten Anmeldeinformationen überall verwendet haben, müssen Sie Ihre Kennwörter ändern. Verwenden Sie vorzugsweise ein gutes Tool wie Keepass oder Lastpass, mit dem Sie eine beliebige Anzahl sicherer, generierter, zufälliger Kennwörter schützen können, und Sie müssen sich nur an die eine Hauptpassphrase erinnern.