Hi Leute,
also ich habe folgendes problem gestern hatte mir jemand aus dem internet ne datei geschickt die ich ausgeführt habe (ich weiß nicht was in mich gefahren ist sonst mach ich sowas nie) aufjedenfall wurde ich danach logoff in msn und icq also habe ich sofort eine neue nummer gemacht und den hacker kontaktiert und meinte das ich mein msn und icq wieder haben will wobei MSN wichtiger is weil darüber alles läuft was ich im internet überhaupt mache sprich: paypal,clickandbuy,etc etc.

so er meinte er gibt mir nur alles heraus wenn ich ihm meinen game account gebe ok kein problem ich gebe ihm meinen Counter Strike Source Game account und kriege mein zeug wieder, er hat mir sogar eine textdatei geschickt wo alle gechangelogt war meine ganzen passwörter alles mögliche sogar mein Internetzugangs passwort etc hatten sie-.-...so ja und nach 1 stunde hab ich mein game account wiedergeholt mit sicherheitsfrage weil der idiot vergessn hat das zu ändern^^ naja nebensache aufjedenfall habe ich danach pc sofort formatiert mit Windows CD Festplatte C: und D: auf C befand sich nur das betriebssystem etc und alle dateien die bei der Installation von progs da gespeichert werden und auf D: hatte ich alle programme installiert so zu der zeit hatte ich aber meine externe festplatte angeschlossen und nen kollege meinte der trojaner könnte sich auch auf der externen festplatte eingenistet haben?! Obwohl das Programm habe ich viele stunden vorher ausgeführt also den Keylogger?!

Nun zu meinen Fragen:
1. Ist es dem Hacker möglich nochmal an mein ICQ etc dranzukommen trotz kompletter Formatierung des Systems?
2.Kann es sein als ich paar stunden später meine Externe Festplatte angeschlossen hab das sich da trotzdem der Keylogger drauf eingenistet hat?
3. Welche Rechtlichen möglichkeiten hätte ich falls ich nochmal in so eine Situation komme?! (man beachte das Onlinebanking etc alles über die MSN E-Mail adresse betrieben wird)
4. Wiso hat mein Kaspersky 6 den Keylogger nach einer Kompletten wirsprüfung nicht erkannt?
5. Sollte ich mir zum Kaspersky 6 noch eine extra Firewall besorgen oder reicht die K6 interne aus?!

Wenn der Server gehackt wurde, muss man zunächst sehen, dass keine weitere Komprommitierung möglich ist, bzw. die Aktionen, die der Server durch den Einbruch ausführt, nicht weiter abarbeitet.

Die meisten Provider bieten ein sogenanntes Rescue-System an. Dies ist eine Minimalkonfiguration, mit dem der Server gestartet werden kann und sämtliche Dienste deaktiviert sind. Meist läuft in diesem Fall auch kein Netzwerk und der Server ist von aussen nicht mehr erreichbar. Hier muss sich der Administrator dann per SSH-Konsole auf den Server aufschalten.

Nun folgt der wohl wichtigste Schritt: Spuren sichern, Logfiles prüfen
Wenn die Logfiles nicht gelöscht wurden - was die meisten Hacker allerdings als erstes tuen - müssen diese gesichert werden, am besten auf den heimischen PC. Diese können später als Beweismittel bei der Polizei verwendet werden.
Danach kann man sich noch die Daten ansehen, die auf dem Server liegen. Hier ist es wichtig, zu erkennen, welcher Art von kompromittierung der Server erlitten hat. Auch die veränderten Dateien können noch gesichert werden.

Den Server nun komplett herunterfahren - ein ausgeschalteter Server ist der sicherste Server. Er kann nicht weiter benutzt werden und es können auch keine Dateien gelöscht werden.
Nun muss man sich an die Logfiles machen, sie müssen geprüft werden und Auffälligkeiten müssen herausgefiltert werden. Diese kann man dann separat ausdrucken oder in einer separaten Datei sichern.

Nun kommt der unangenehme Teil.
Nun muss man zur Polizeit gehen und Anzeige erstatten.
Falls IPs gefunden wurden, muss man den jeweiligen Provider verständigen. Am besten durch einen Telefonanruf und einem darauffolgendem Fax muss man den Provider darüber informieren, dass man Anzeige erstatten wird. Die Staatsanwaltschaft wird sich dann weiterhin die Logs des Providers vornehmen um den zu der IP passenden Benutzer ausfindig zu machen.
Wichtig ist es auch, dass man seinen eigenen Provider verständigt. Es wäre sinnvoll, sich von der Festplatte des Servers eine Datesicherung auf CD machen zu lassen, die man dann der Polizei mit übergeben kann.


Server gehackt, was passiert nun mit dem Server?

--------------------------------------------------------------------------------

Falls eine Datensicherung gemacht wurde und man diese in den Händen hält, gibt es eigentlich keinen Grund, den Server nicht wieder einzusetzen.
Einzusetzen heisst in diesem Falle komplett neu aufsetzen - ein nagelneues Image aufspielen und sämtliche Updates durchführen.
Auch sollten für sämtliche Dienste neue Passwörter vergeben werden. Die Schwachstelle, die beim Einbruch auf das System benutzt wurde, muss geschlossen werden. Gefährtete Scripts dürfen nicht wieder eingesetzt werden.

Falls durch den Servereinbruch eine zu grosse Trafficrechnung zu bezahlen ist, sollte man mit der Rechnungsstelle Rücksprache halten und diese darüber informieren, dass Anzeige erstattet wurde.

Zu Beachten ist aber immer: Der Administrator ist für seinen Server verantwortlich. Das heisst, dass Rechnungen, die durch die Kompromittierung entstehen, auch bezahlt werden müssen. Falls der Einbrecher ermittelt werden kann, kann man den entstandenen Schaden nur wieder einklagen.