Krisenmanagement II: machm-it.org Server

Seit Donnerstagabend ist der machm-it.org Server offline.

Die Kommunikation innerhalb des Vorstands ist auf dem Nullpunkt und mündet mittlerweile in ziemlich bösartigen Unterstellungen.

Reinhold behauptet, dass wir machm-it.org damit schädigen wollen, indem wir eine Weiterleitung auf eine Website eingerichtet haben, auf der über die vorübergehende Nichterreichbarkeit von machm-it.org hingewiesen wird. Diese Website befindet sich auf meinem privaten Server.  Auf der Hinweisseite befand sich kein Link auf meine Firmenhomepage.
Inzwischen wird weitergeleitet auf den Google Cache.

Frank behauptet, dass wir nicht daran interessiert sind, die machm-it.org Website wieder herzustellen, weil "die Projekte genug abgeworfen und nun brauch man den Verein nicht mehr".

Hier meine e-mail an alle alten Vorstände und die Kandidaten für den neuen Vorstand, Olli und Monika:

Der von machm-it.org angemietete Webserver bei Strato wurde von Strato am Donnerstagabend gesperrt.
Hagen hat sich unverzüglich mit Strato in Verbindung gesetzt und zur Auskunft erhalten, dass von diesem Server eine große Menge Traffic ausging (> 300 GB pro Stunde)!
Über die Remote-Console des Servers ist es möglich, die auf dem Server liegenden Verzeichnisse zu kontrollieren.
Gefunden hat Hagen dort ein Skript, welches am 26.06.2007 direkt in das /tmp Verzeichnis kopiert wurde.

Schadsoftware wird auf Servern installiert unter Ausnutzung von Sicherheitslücken in einem PHP Programm. Wenn dann die Optionen save_mode und open_basedir geschaltet sind, besteht die Möglichkeit, beliebigen Code in das /tmp Verzeichnis zu kopieren. Dieser Code ist normalerweise ein Rootkit, oder ein ein Botserver, der von außen steuerbar ist und vom System nicht bemerkt wird. Genau so etwas lag in unserem /tmp Verzeichnis und zwar seit dem 26.6. 2007.
Es waren definitv keine ungepatchten Programme auf dem Server, so dass es sehr unwahrscheinlich ist, dass ein "böser Hacker" am Werke war.
Der Server wurde am 22.Mai 2007 komplett neu aufgesetzt. Alle Systeme waren auf dem neuesten Stand.
Außerdem sind "böse Hacker" darauf bedacht, ihre Spuren zu verwischen. Sie können zwar Sicherheitslücken ausnutzen um ein Schadscript hochzuladen, es kann jedoch meist nicht so einfach wieder gelöscht werden. Auf dem Server befinden sich keine Spuren von solchen Aktionen.
Ein anderer Weg führt über den FTP Account oder über die FTP Funktionen von PHP. Wer im Besitz dieser Daten ist, kann bei Safe_mode OFF und ausgeschaltetem open_base_dir beliebigen Code in das /tmp Verzeichnis einschleusen und Programme unter verschiedenen Rechten (auch root) starten.

Darüberhinaus fehlen einzelne htdocs Dateien im Backup, die vorher vorhanden waren.

Seit Anfang Juni hat, um den Zugang zum Vereinsraum zu bauen, auch Reinhold das FTP Paßwort zum Server.
Dieser Zugang war eine Gemeinschaftsarbeit von dir Frank, Reinhold und Jan.

Wir hatten bis heute morgen keine Möglichkeit, Strato telefonisch zu erreichen, weil Skype offline war. Aus diesem Grund habe ich gestern vormittag und gestern nachmittag Strato per e-mail um erneute Freischaltung des Servers gebeten.

Nach der Freischaltung kann der Server wieder neu aufgesetzt werden.
Wenn aber, wie von dir Frank, angeregt, der Server gekündigt werden soll, dann können wir uns diese Arbeit und Zeit sparen.

Ich denke, wir sollten uns schnellstmöglich im Vorstand und mit unseren Kandidaten für den neuen Vorstand zusammenfinden.
Deshalb schlage ich vor, wir machen eine Skype-Konferenz heute abend 20.00 Uhr.