Contao index.php versendet angeblich massenhaft Spam-Emails

Druckbare Version

20.01.2020, 15:53
Dublay

Contao index.php versendet angeblich massenhaft Spam-Emails

Code:

Vor wenigen Minuten haben unsere Sicherheitsmechanismen erkannt, dass auf Ihrem Webspace ein ungewöhnliches Versandverhalten von E-Mails aufgetreten ist. Der Versand wurde über folgende Dateien auf Ihrem Webspace angestoßen: ~/domain.de.de/cms/index.php Details zum Vorfall: Absender: no-reply@domain.de, internet@domain.de Zeitpunkt des Versands: 2020-01-20 14:39:16 UTC Anzahl der E-Mails: 72 Anzahl der Zustellversuche: 72 Land der Versand-IP: 5.188.x.x (RU) Empfängerdomain: domain.de, mail.ru, gmail.com Um den Versand zu stoppen und weiteren Missbrauch Ihres Vertrages zu verhindern, haben wir die oben genannten Dateien gesperrt.

Kann mir jemand da mal weiterhelfen? Ist das ein Fehler in Contao 3.5.4? Wie lässt sich das verhindern, bzw. was genau passiert da?
20.01.2020, 16:03
Spooky

Es könnte sein, dass das indirekt über ein Formular auf der Seite gemacht wurde. Bspw. bei einem Formular wo du auch eingestellt hast, dass eine Kopie an den Absender geschickt werden soll.

Du solltest dringend auf Contao 4.4.46 oder in kürze 4.9.0 aktualisieren.
20.01.2020, 16:03
tab

Ich schätze mal, die Website wurde gehackt. Bekannte Sicherheitslücken enthält sie ja.

Edit: Was Spooky da schreibt klingt allerdings auch einleuchtend.
20.01.2020, 19:57
Dublay

Ok, danke. Macht da eine kurzfristige Notlösung über ein reCaptcha-Modul oder ähnliches einen Sinn? So schnell bekommen wir die Seite ja nicht umgebaut und aktuell ist sie offline.
20.01.2020, 21:08
webstar

Zitat:

Zitat von Dublay

Ok, danke. Macht da eine kurzfristige Notlösung über ein reCaptcha-Modul oder ähnliches einen Sinn? So schnell bekommen wir die Seite ja nicht umgebaut und aktuell ist sie offline.

Angenommen die Seite ist gehackt worden: Wenn der Dieb schon im Haus ist, ergibt es wenig Sinn ein "Betreten verboten" Schild aufzuhängen.

Erstmal müsste die Ursache gefunden werden. Seite gehackt? Oder nur ein Formular? Danach lassen sich Maßnahmen ableiten.
20.01.2020, 21:33
Dublay

Tja, nur wie findet man das heraus ;)
20.01.2020, 21:46
Spooky

Wenn es über ein Formular war solltest du im System Log Einträge sehen, wann ein Formular gesendet wurde und von wem und im system/log/email.log an welche E-Mail Adressen E-Mails gesendet wurden.
20.01.2020, 22:03
Dublay

Zitat:

Zitat von Spooky

Wenn es über ein Formular war solltest du im System Log Einträge sehen, wann ein Formular gesendet wurde und von wem und im system/log/email.log an welche E-Mail Adressen E-Mails gesendet wurden.

Hunderte " Form "Kontaktformular" has been submitted by 5.188.84.0." - hab jetzt einfach mal ein recaptcha-Modul installiert und hoffe, das jetzt erstmal Ruhe ist, bis das Update läuft.
20.01.2020, 22:22
tab

Auch wenn ich mittlerweile davon ausgehe, dass es wohl nur ein Formular ist, das den Missbrauch ermöglicht, sollte doch möglichst bald das Update auf eine aktuelle, noch unterstützte Version angegangen werden. Eine Kopie an den Absender ohne irgendeine Authentifizierung ist m.E. eigentlich immer eine schlechte Idee. Kann man bei angemeldeten Mitgliedern machen, ansonsten ist das ein Damoklesschwert, das über dem Websitebetreiber schwebt. Man kann es ja nicht nur für typische Spam-Mails missbrauchen - was jetzt hier wohl passiert ist. Man kann damit auch dem Websitebetreiber gezielt echten, materiellen Schaden zufügen, indem man als Absender irgendeinen als streitlustig bekannten Zeitgenossen angibt. Wenn der dann die ersten ungewollten Mails erhält wird der Websitebetreiber auf die kostenpflichtige Abmahnung durch dessen Anwalt nicht lange warten müssen. Das muss man nicht unbedingt haben und dagegen hilft auch kein reCaptcha-Modul.