Hallo Leute
,
offensichtlich hab ich hier und anderswo in der letzten Woche für ein reichliches
Durcheinander gesorgt und es wurden die wildesten Vermutungen
angestellt und Gerüchte verbreitet.
Der Grund warum ich die ganze Sache erst so spät aufklären kann ist
einfach der das ich von den benannten Problemen bis jetzt noch nichts wußte.
Zunächst ersteinmal zu den häufigen Referer Aufrufen, diese entstanden
durch einen Fehler in einer Datenbankabfrage. Wir arbeiten zur Zeit an
einem Suchmaschinen-Spider um einen eigenen SuchIndex aufbauen zu
können. Offenbar funktionierte hier an einer Stelle der Datenbankabgleich nicht
der verhindern sollte das es zu Dopplungen bei den Anfragen kommt.
Die Seite
https://elict.org/awards.html diente uns nur zu Tetzwecken um
festzustellen ob sich der Spider auch richtig identifiziert. Es wurde leider
vergessen diesen Eintrag aus dem Spider zu entfernen.
Die Domain selbst hat rein gar nichts mit unserem Vorhaben zu tun.
Das ganze Projekt befindet sich momenten noch in einem frühen Alpha
Stadium. Das solche massiven Fehler auftreten war andhand von logfiles
nicht ersichtlich. Dafür kann ich mich an dieser Stelle nur bei allen
Betroffen entschuldigen.
Nun zu dem ausgenutzen Exploit. Hier handelt es sich um den Nachbau
einer heise.de Demo die ich dort vor wenigen Wochen gefunden habe.
Dieses Script war zu keinem (
!) Zeitpunkt über die Domain elict.org
erreichbar. Gefunden konnte es nur werden wenn man sich die Mühe
machte die IP Adresse der Domain elict.org festzustellen, sich dann über
die IP Adresse auf die ellen lange Adresse:
https://global.admedia.adfarm.de/ref/a8 ... /solution/ weiterleiten
zu lassen. Hier musste man sich nun durch einige Unterverzeichnisse
und Subdomains kämpfen um dann irgendwann bei dem benannten
Script zu landen. An dieser Stelle kann ich nur sagen das es sich
bei dieser Domain bis dato um eine rein private Seite gehandelt hat.
Auf die ohne weiteres niemand Zugriff hatte und die auch nirgendswo
umworben wurde. Faktisch für die Öffentlichkeit nicht existierte.
Diese Domain war bis zur vergangenen Woche eine rein
private
Spielwiese und steht in keinem (
!) (direkten) Zusammenhang mit elict.org.
All denjenigen die sich hier infiziert haben sollten werde ich ein Popup
mit einer Anleitung zum Entfernen einblenden sofern einer der bei Ihnen
geblockten Server auf meinen umgeleitet wird.
Sollte jemand weiterführend Hilfe zu dem Script brauchen oder anderweitig
Fragen haben stehe ich gern für Auskünfte bereit.
mfg
elict
