OSP .ico Malware im Portfolio

OpenSchulportfolio
#1

Hallo Zusammen,

im Schulportfolio haben wir seit einiger Zeit das Problem, dass die Seite unter Beschuss steht und immer wieder mit Viren (.ico) Dateien in den Verzeichnissen befüllt werden. Diese Dateien werden über die PHP Dateien über einen include befehl befüllt.

Wir haben bereits mehr mals die php Daten bereinigt und von Viren befreit, allerdings passiert es immer wieder. Auf dem Webserver sind auch noch andere Instanzen und diese werden anschließend ebenfalls damit befüllt.
Hat jemand ein ähnliches Problem? Gibt es hierfür eine Lösung? Es läuft die aktuellste Version von OSP und alle Plugins sind auf dem aktuellsten stand. Wie kann sich dagegen schützen?

Würden uns über eine Lösung freuen.

#2

Hallo Maria,

Willkommen bei linuxmuster.net!

Kann man vielleicht Zugriffe aus anderen Ländern sperren? Das wäre kein Allheilmittel, würde aber einen großen Anteil Angreifer außen vor lassen.

Wenn Ihr den IPFIRE habt, dann ist das Blocken internationaler Seiten sehr einfach.

Hier muss man nur unter Firewallregeln GeoIPBlock auswählen und in der folgenden Seite überall Haken bei Ländern setzen die man aussperren möchte. Danach auf Speichern klicken und unter Firewallregeln die Änderung bestätigen.

Achtung: Wenn Ihr Webuntis habt, dann musst Du den Zugriff aus Österreich zulassen.

Viele Grüße

Alois

#3

Hallo Alois,
danke für die schnelle Antowort.

vielen Dank für den Hinweis. Wäre evtl auch über htaccess realisierbar… Sonst noch irgendwelche tips, wie man die Seite Sicherer machen kann?

#4

Hallo Maria,

ja, htaccess sollte auch helfen!

Gruß

Alois

#5

Hallo Daniela,

ich habe gerade mal unseren Webserver, auf dem OSP läuft, nach *.ico gescannt. Taucht im OSP nicht auf. Nur favicon.ico in NC-Ordnern von einigen Apps oder in den dort abgelegten DUA.

Viele Grüße
Steffen

#6

Hallo mariagress, @All,

auch von mir ein herzliches Willkommen in diesem Forum :grinning:

Ist so ein OS-System nicht als komprimitiert zu bezeichnen?

Quasi der GAU eines Systems? Alarmstufe rot? Zumindest orange?

Müsste nicht zuerst der Ursache auf den Grund gegangen werden?

Wie äussert sich den der „Beschuss“? Bzw. wie macht sich das bei Euch bemerkbar?

Mehr techn. Details wären hilfreich.

GeoIP ist bestimmt eine Möglichkeit, etwas Risiko zu mindern …,

VG Andre

#7

Hallo,

Dazu ein paar Fragen:

  1. Was bedeutet „befüllt“ - auf den Server hochgeladen?
  2. Warum sprichst du von „Viren“ im Zusammenhang mit den ico Dateien?
  3. Wo ist das Portfolio gehostet?
  4. Hab ihr die Option „phpok“ gesetzt, darf man also PHP Befehle in Wikiseiten einbinden?
  5. Ist das Wiki nur für angemeldete Benutzer editierbar?

VG

Frank