Was ist das für ein Website Hack ?

unawave · : 01.12.2007 : 22 : Deutschland

Z.B. auf diesen Sites:

leitner.de
ng-software.de
liegl-wohntraeume.de
die-finca.com

Unten sieht man massenhaft Links zu angeblichen Sex Seiten. Auch meine Site ist betroffen – gewesen. Scheint immer das gleiche System zu sein: Im Root-Verzeichnis und in neu eingerichteten Unterverzeichnissen (z.B. "_img" - die-finca.com/_img/Beispielj.html) stehen etliche 1000 Seiten die kreuz und quer verlinkt sind.
Scheint sich um den Aufbau einer Link-Farm zu handeln.

Aber welchen Sinn macht das ? Ich sehe da keine spezielle Seite die durch massenhafte Links gepusht werden soll ?
Wie erlangt der Hacker Zugriff ? Scheint mir ein reiner FTP-Upload zu sein. Und es sind völlig unterschiedliche Systeme (CMS, Foren, Frontpage-Seiten, etc.) und unterschiedliche Provider.

Andreas I. · : 18.03.2006 : 1426 : Hamburg

Ab und zu kommt es vor, dass ein Servers eines Hosters gehackt wird und auf sämtlichen Domains werden dann irgendwelche Links eingefügt. Andere Server hacken, um Links zu platzieren, ist tiefschwarzer Blackhat!

Aber sowas gibt es tatsächlich, wie du gesehen hast!

luzie · : 12.07.2007 : 3343 : Hannover, Linden-Nord

@andreas:

um deine aussage zu unterstreichen - das ist nicht blackhat sondern kriminell

StGb § 263a Computerbetrug
(1) Wer in der Absicht, sich oder einem Dritten einen rechtswidrigen Vermögensvorteil zu verschaffen, das Vermögen eines anderen dadurch beschädigt, daß er das Ergebnis eines Datenverarbeitungsvorgangs durch unrichtige Gestaltung des Programms, durch Verwendung unrichtiger oder unvollständiger Daten, durch unbefugte Verwendung von Daten oder sonst durch unbefugte Einwirkung auf den Ablauf beeinflußt, wird mit Freiheitsstrafe bis zu fünf Jahren oder mit Geldstrafe bestraft.
(2) § 263 Abs. 2 bis 7 gilt entsprechend.
(3) Wer eine Straftat nach Absatz 1 vorbereitet, indem er Computerprogramme, deren Zweck die Begehung einer solchen Tat ist, herstellt, sich oder einem anderen verschafft, feilhält, verwahrt oder einem anderen überlässt, wird mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe bestraft.
(4) In den Fällen des Absatzes 3 gilt § 149 Abs. 2 und 3 entsprechend.

uzie- Google Official Bionic Top Contributor - Google Webmaster Help - SEO bei ABAKUS

unawave · : 01.12.2007 : 22 : Deutschland

Das ist ja gemein: Wenn man sich diese 4 Seiten mit aktiviertem JavaScript anschaut, dann sieht man ganz normale Homepages:

leitner.de
ng-software.de
liegl-wohntraeume.de
die-finca.com

Aber bei de-aktiviertem JavaScript erscheint "unter" den Homepages plötzlich eine ellenlange Liste mit Links.

Die Homepage-Betreiber werden das wohl gar nicht bemerken, wenn sie JavaScript aktiviert haben.

Starreporter · : 30.12.2007 : 37

Habe die besagten Firmen mal angerufen die sind vom Hocker gefallen wo ich ihnen das gezeigt habe per Telefon

Aber man hilft ja gerne

emel · : 19.12.2007 : 1043

und haben sie dich gleich als SEO engagieren wollen?

Suche / Biete L*nks - PM an mich

Starreporter · : 30.12.2007 : 37

Nicht ganz aber die eine Firma meinte gleich so unser Seo war mal unser Seo nun

Moritz2007 · : 14.06.2008 : 1511

Der ist jetzt bestimmt SEO beim Arbeitsamt löl

nerd · : 15.02.2005 : 1686 : AKL

kann auch eine cms sicherheitsluecke sein. letzens auch erst wieder gesehen, sogar auf webseiten von politikern (ja, solchen schweinkram schau ich mir an!) und darunter dann massenweise pharma-links auf ne unterseite von einem recht harmlos aussehenden shop mit putzigem flash-intro.

marketing through social media is just like herding cats. and just to make it interesting, many of the cats are drunk and stupid...

blackhat linkkauf und so...

unawave · : 01.12.2007 : 22 : Deutschland

unawave · : 01.12.2007 : 22 : Deutschland

Noch eine Anmerkung:
Google listet nun in der Webmaster-Zentrale ca. 1500 interne Links die nicht mehr erreichbar sind.
Altavista meldet ca. 5000 Links von externen Seiten.
Wie sich das SEO technisch auswirkt, weiß ich jetzt noch nicht.

Also gab es mal ca. 5000 Seiten die ebenfalls auf diese Weise gehackt wurden.
Hier mal eine Übersicht, wie weltweit dieser Hack verbreitet ist:

frutoamarelo.com.br
floriplast.sk
foresthigh.co.za
footballtillidie.co.uk
alasus.com.ar
flojhar.hr
fraggle.at
conraths.de
frantzentagfacade.dk
beursfaciliteiten.nl/index2r.html
beas-beautyoase.ch

Starreporter · : 30.12.2007 : 37

Unfassbar wie krank manche Leute sind. Würde ja jetzt am liebsten die Firmen alle mal anrufen aber ehrlich gesagt würde das nie ein Ende finden.

unawave · : 01.12.2007 : 22 : Deutschland

Das fiese daran ist ja auch, daß einige Seitenbetreiber diesen Hack selbst nicht sehen, weil sie beim Betrachten der eigenen Homepage JavaScript aktiviert haben.
Und Such-Roboter, die vorbeikommen, arbeiten ja meist ohne JavaScript – und diese "sehen" somit die ganzen Links.
Einige Webseiten scheinen mittlerweile auch geschlossen zu sein – wegen zu hohem Traffic-Aufkommen.

hajo3894 · : 25.06.2009 : 4

Hallo zusammen,

wir haben auf unserer Seite www.triplestyle.de genau das gleiche Problem gehabt. Und das ganze sogar zweimal.

Das ganze hat damit angefangen, dass ich auf einmal massenhafte Zugriffe von einem angeblichen Yahoo Bot bekommen habe. Das die Ip-Adressen aber immer alle irgendwo aus China waren, hat mich das doch sehr gewundert. Dann habe ich mal überprüft, worauf dieser Bot denn die ganze Zeit zugreifen möchte. Und siehe da: Fast genau die gleichen Dateien, wie oben schon beschrieben. Auf jeden Fall war der Aufbau dieser Dateien identisch mit dem, wie es auch oben schon geschrieben wurde. Ich habe mir die Dateien mal angesehen. Vom optischen her war es immer eine augenscheinliche W3C Seite. Deaktieveirt man nun aber alle CSS Styles, hat man jede Menge Links zu anderen Seiten vor Auge, die teilweise auch Linktexte wie sex, nude u.s.w. hatten. Soweit so gut. Habe die Sachen alle gelöscht und dachte das Problem wäre beseitigt. Dennoch wurden die Zugriffe der angebelichen Yahoo Bots nicht weniger. Es wurde immer wieder versucht dieses komischen Datein zu erreichen. Nach weiteren Analysen ist mir aufgefallen, dass ich laut dem Yahoo Sitexplorer über 20.000 domain-backlinks hatte. Und da wurde mir klar, was das ganze auf sich hat.

Wer auch immer dahinter steckt, hat irgendwie Zugriff auf meinen FTP-Server bekommen un dort die besagten Dateien abgelegt. Diese Links von denen ich gerade gesprochen habe zeigen zu Seiten, denen wohl das gleiche wie mir passiert ist und zu Seiten, die Viren enthalten. Das ganze ist ein Netzwerk und zwar eine Linkfarm. Diese Netzwerk bewirkt, dass du von allen Seiten, die auch davon betroffen sind, automatisch Backlinks auf deine eigenen gehackten Seiten bekommst und das ganze wie ein endloser Kreislauf sich ausbreitet. Somit hat man auf einen Schalg sehr sehr sehr viele Backlinks.

Auswirkung bei Google: Unsere Seite war mit einigen in unserer Branche bekannten Keywords relativ gut platziert gewesen. Nachdem aber das ganze passiert ist, waren wir organisch tot. Ich kann es euch nicht beweisen, aber anhand meiner Analyse bin ich mir zu 100% sicher, dass wir von Google abgesraft worden sind. Nun kam die Frage aller Fragen: Warum? Nun ja, Leute die sich mit Linkaufbau ein wenig auskennen, werden mir wohl zustimmen, dass Google ziemlich sauer wird, wenn eine Domain von einem auf den anderen Tag auf einmal über 20.000 Backlinks mehr hat.

Problembehebung / Lösungen: Nun da wir wussten, womit wir es hier zu tun haben, brauchten wir Lösungen um das ganze wieder Rückgängig zu machen. Das ist aber gar nicht so einfach, da es einfach nicht zu schaffen ist, jeder dieser einzelnen gehackten Seiten zu kontaktieren, um denen zu sagen, dass die Ihre Seite mal überprüfen sollen und die Links auf uns bzw. alle gehackten Seiten entfernen sollen.

Und wie oben ja auch schon geschrieben wurde, merkt man das selber so gar nicht, außer man deaktiviert Javascript und / oder CSS Styles. Und bevor ich es vergesse: Die Links auf den gehackten Seiten waren alle mit dem Tag "dofollow" versehen. Was für ein Zufall.

Fazit: Ich gehe mal davon aus, dass es noch mehrere Jahre, wenn nicht sogar Jahrzente dauern wird, bis alle Backlinks zu unserer Domain verschwunden sind. Außer Google ändert seine Crawling-Technologie. Z.B. sollten sofort bei Google Alarmglocken angehen, wenn er sowas sieht: <div style="position: absolute; left: -5000px; font-size: 1; height: 1; width: 1; overflow: hidden;">. Somit erreichen die nämlich, dass man selber erst gar nicht die Links zu sehen bekommt.

Was heißt das nun für uns. Wir brauchen eine neuen Domain. #Cussing out

Jetzt bleibt aber immer noch eine Frage, wo ich überglücklich über eine Antwort wäre: Wie haben die es geschafft auf unseren Server Dateien abzulgen bzw. Dateien zu beschreiben?????

Da wir das Schopsystem XT-Commerce benutzen, hatte ich gedacht, es gibt vielleicht dort eine Sicherheitslücke. Aber da ich im Internet über solch eine Sicherheitslücke nichts gefunden habe und es wahrscheinlich dann auch viele viele andere Shops getroffen hätte, wo ich aber keinen von finden konnte (nach langer langer Recherche), kann ich das wohl ausschließen. Ich habe mir mal dann auch die gehackten Seiten die zu uns zeigen genauer angeguckt. Dort konnte ich keine Regelmäßigkeiten feststellen, wie z.B immer das gleiche CMS oder immer das gleiche Shopsystem.

Und ab hier wieß ich leider nicht mehr weiter. Aber vielleicht ließt das hier ja einer, der sich mit dieser Thematik auskennt oder den das gleiche passiert ist und eine Lösung hat.

Ich bedanke mich jetzt schon für alle die mir/uns irgendwie weiter helfen können. Denn auch wenn ich die Domain höchstwahrscheinlich wegschmeißen kann, will ich trotzdem wissen, wie diese ****** Zugang bekommen konnten um nicht nochmal sowas zu haben.

Ich hoffe das hier ist auch einen kleine Hilfe für diejenigen, denen das gleiche unterlaufen ist und genauso ratlos am Anfang wie ich waren.

Gruß

Daniel

P.S.: Achtet nicht auf meine Rechtschreibfehler. War beim schreiben ziemlich aufgelöst.

Moritz2007 · : 14.06.2008 : 1511

Wer auch immer dahinter steckt, hat irgendwie Zugriff auf meinen FTP-Server bekommen un dort die besagten Dateien abgelegt. Diese Links von denen ich gerade gesprochen habe zeigen zu Seiten, denen wohl das gleiche wie mir passiert ist und zu Seiten, die Viren enthalten. Das ganze ist ein Netzwerk und zwar eine Linkfarm. Diese Netzwerk bewirkt, dass du von allen Seiten, die auch davon betroffen sind, automatisch Backlinks auf deine eigenen gehackten Seiten bekommst und das ganze wie ein endloser Kreislauf sich ausbreitet. Somit hat man auf einen Schalg sehr sehr sehr viele Backlinks. <<<<<< Dahinter steckt Jason Thailor, USA, 47-47 36th Street,ip wird nicht hier gepostet, verlinkt wurdest du von Linkprotektor,gesetzt wurden intervall 378 Backlinks im ersten Monat.danach Tendenz steigend 30-40-50 er schritte.Dein Ftp Server enthält nen Order der da nicht hingehört. Gesetzt wurden xxx Links sowei zu Hacker und crack seiten.

Die Frage warum, kannst nur du selbst beantworten.

Dein endloser Kreislauf befindet sich im Ordner auf deinem Server.