PC gehackt und Zugangsdaten geklaut, was tun?

Hallo zusammen,

Wie im Betreff bereits erwähnt, wurde höchstwahrscheinlich mein PC gehackt und dadurch meine Passwörter geklaut.

Vor einigen Wochen, habe ich bemerkt, dass sich auf eines meiner Mail-Konten jemand anderes angemeldet hatte, es waren mehrere Versuche in der Login-Historie, immer aus anderen Ländern mit einer anderen IP-Adresse (vermutlich über eine VPN) die meisten Versuche wurden blockiert, aber bei einer Mail-Adresse sind einige Versuche durchgekommen.

Als ich das bemerkte habe ich umgehend alle Passwörter von einem anderen Gerät aus geändert und meinen PC, der wahrscheinlich gehackt wurde, zurückgesetzt.

Vor 2 Wochen erhielte ich eine E-Mail, in der alle meine Passwörter aufgeführt waren, die im Chrome Passwortmanager gespeichert waren (viele meiner Passwörter sind im Passwortmanager von S-Trust gespeichert, davon war keines enthalten). Als Anhang war u.a. eine PDF angehängt, in der der Absender behauptete, meinen PC gehackt zu haben und 1150$ in Bitcoin wollte, andernfalls würde er meine Daten veröffentlichen.

Ich bin darauf natürlich nicht eingegangen und habe den Absender blockiert, bis heute war dann auch ruhe. Jetzt hab ich gerade wieder wie vor 2 Wochen von einer französischen Mail-Adresse mit dem gleichen Betreff eine Mail bekommen, in der wieder alle meine damaligen Passwörter erwähnt wurden und wieder ein ähnliches Schreiben wie vor 2 Wochen enthalten war, einiges war aber anders, z.B. der geforderte Betrag und die BTC-Adresse. (Bild von der PDF im Anhang). Diesmal hat derjenige aber noch einen Screenshot von meinem Desktop mitgeschickt.

Ich denke mal, dass die Daten schon längst im Darknet oder in irgendeinem Telegram Kanal rumschwirren und dass der Typ von heute jemand anderes ist, wie der von vor 2 Wochen, auch wenn sich die Texte relativ ähnlich sind...

Ich kann mir das ganze wirklich bei bestem Willen nicht erklären, weil ich nichts unseriöses auf dem PC installiert hatte und ich zusätzlich wie auch noch rechts auf dem Screenshot von dem Typ zu sehen ist (Bild im Anhang), Avast Premium Security und den ganzen anderen Kram von Avast installiert hatte.

Das dümmste ist aber, dass ich Idiot meine Gehaltsabrechnung auf dem PC gespeichert hatte, weil ich dachte, dass mit Avast schon nichts passieren wird... Was aber im Nachhinein wirklich richtig dumm war... Von dem her hat der Typ bzw. haben die jetzt wahrscheinlich auch noch die Gehaltsabrechnung wo halt IBAN etc. alles draufsteht.

Das komische was mir die letzten Tage aufgeflllen ist, ist, dass manchmal einige Bereiche/Pixel von meinem Monitor schwarz werden und sobald man die Maus bewegt wieder normal, Kann es daher sein, dass vielleicht noch irgendwelche Schadsoftware auf dem PC vorhanden ist? PC sowie BIOS ist zwar mehrfach zurückgesetzt und alles aktualisiert, aber ich bin mir sicher, dass das davor noch nicht war... Avast meint es wäre alles sicher, aber ob ich mich darauf verlassen kann, bezweifle ich mittlerweile eigentlich...

Meine Frage ist daher, ob ich noch etwas zum Schutz machen könnte und wie sinnvoll es ist, eine Anzeige bei der Polizei zu erstatten. Weil bis auf die Mailadresse von damals und heute sowie die IP-Adressen aus der Login-Historie habe ich ja nichts...

Ich bedanke mich für alle Antworten vielmals im Voraus...

(Sorry für den langen Text)

Bild zu Frage
Virus, Passwort, Hacker, Hacking, Malware
Ist es normal, dass ein nicht öffentlicher privater Testserver ohne wichtige Daten in <24 Stunden Ziel eines Ransomangriffs wird?

Ich hatte hier auf gf.net erst vor ein paar Tagen wegen eines Port-konfigurationsproblem gefragt, dann eine scheinbare Lösung gefunden und jetzt nach nicht einmal 24 Stunden Testbetrieb scheint es bereits einen ersten Hackingangriff gegeben zu haben...

Angriff = Mongo Datenbank wurde gelöscht und durch eine andere DB ersetzt, die eine Readme enthält, doch bitte 0,0065 BTC (ca. 400€) zu unbekannter Wallet zu überweisen, damit im Anschluss die DB von russischer Domain wieder freigegeben wird!

Oder könnte evtl. meine Problembeschreibung hier auf gf.net vor wenigen Tagen mit diesem Angriff in Zusammenhang stehen? Ich hatte (dummererweise?!) ein paar Port und Prozess ID's und den Namen des Benutzers aus einem Terminal Log geposted, aber keine reale IP Adresse oder Passwörter. Die IP/Domain des Servers ist normalerweise bislang nur mir bekannt und es befand sich noch keine fertige Webseite sondern nur ein paar unwichtige Testscripte & Test DB darauf. Irgendwelche Ideen oder Tipps, insbesondere was diese ach so coolen Hacker jetzt damit bezwecken? Und wie macht man nun am Besten weiter? Den Server ganz Platt machen und wieder von vorne anfangen? Den Hoster wechseln?

Server, Linux, IT, Datenbank, Erpressung, Hacker, Hackerangriff, IP-Adresse, Malware, MySQL, Port, Trojaner, Verschlüsselung, Webentwicklung, Authentifizierung, Ransomware, MongoDB, Debian 10
Wie kriege ich mit ROP einen "/bin/sh" Pointer in rdi?

Ich versuche, rücksprungorientierte Programmierung (ROP) zu lernen.

Und zwar habe ich ein Programm mit einem Pufferüberlauf auf dem Stack, und ich möchte das Programm dazu bringen, /bin/sh zu öffnen.

Das geht mit dem execve Syscall, wenn ich die richtigen Instruktionen finden kann, um die Funktionsparameter vorzubereiten. Das ist die Signatur von execve:

int execve(const char *pathname, char *const _Nullable argv[], char *const _Nullable envp[]);

Also muss ich die folgenden Register setzen:

  • rax = 0x3b (Syscallnummer von execve)
  • rdi = "/bin/sh" Pointer
  • rsi = NULL
  • rdx = NULL

Die folgenden Instruktionen habe ich bereits gefunden:

pop rax ; ret
pop rdi ; ret
pop rsi ; ret
pop rdx ; ret
syscall

Ich kann also die Instruktionen und Registerwerte mit dem Pufferüberlauf auf den Stack schreiben und so meine Register füllen. Das Problem ist aber, dass ich einen "/bin/sh" Pointer in rdi brauche (also nicht "/bin/sh" im Register, sondern eine Speicheradresse, an der "/bin/sh" steht).

Ich kann natürlich "/bin/sh" in den Puffer auf dem Stack schreiben, aber leider ist die Speicheradresse jedes Mal anders und ich kenne sie vorher nicht.

Ich weiß, dass "/bin/sh" in libc vorkommt, aber auch dort ist die Speicheradresse jedes Mal anders und ich kenne sie vorher nicht.

Wie komme ich also an einen "/bin/sh" Pointer? Gibt es Tricks oder bestimmte Instruktionen, nach denen ich mich umsehen sollte?

hacken, Hack, Programm, programmieren, pointer, Assembler, Hacker, Hacking, Informatik, IT-Sicherheit, Shell, stack, x64, assemblersprache, Assembly, Exploit, hacken lernen, IT-Sicherheitsexperte, Register, Capture The Flag
PC gehackt und Passwörter geklaut, was tun?

Guten Abend zusammen,

Wie im Titel zu lesen, wurde höchstwahrscheinlich mein PC gehackt und dadurch meine Passwörter geklaut.

Vor ca. einer Woche hab ich von meinem Mailprovider eine E-Mail bekommen, dass Fremdzugriffe auf mein Konto stattgefunden haben. Dies wurde mir dann auf Nachfrage auch am Telefon vom Kundensupport bestätigt.

Als ich dann in der Login-Historie nachschaute, fielen mir unzähle Loginversuche aus unzähligen Ländern auf. Bei 2 Mailadressen, wurden alle Versuche vom Provider blockiert, aber bei meiner 3. Adresse sind einige Versuche durchgegangen.

Dann habe ich sofort alle meine Passwörter von einem anderen Gerät aus geändert, und den PC, der wahrscheinlich gehackt wurde, zurückgesetzt und nach der Neuinstallation sofort Avast installiert.

Gestern Abend kam jetzt eine Mail, in der alle meine Passwörter aufgelistet sind, die im Chrome Passwortmanager gespeichert waren, (viele habe ich in Bitwarden gespeichert, davon wurde keines erwähnt, dennoch habe ich selbstverständlich auch diese geändert). Als Anhang war eine PDF angehängt (Screenshot unten), in der stand, dass der Typ eben meinen PC gehackt hat, und jetzt 1150$ über Bitcoin möchte (Zahle ich natürlich nicht), sonst veröffentlicht er alle meine Daten. Dann hat er noch irgendetwas von einer Webcam erwähnt, obwohl ich nochnichtmal eine Webcam habe. Außerdem hatte er noch meine Windows Version und mein Tastaturlayout erwähnt.

Ich kann mir das eigentlich garnicht erklären, weil ich nichts unseriöses auf dem PC installiert habe und zusätzlich war auch der Defender aktiv, aber scheinbar hat es der Typ irgendwie geschafft, diesen zu überwinden.

Das doofe ist auch noch, dass in Chrome auch die Zugangsdaten zu meinem Gehaltsportal drinnen waren, heißt der Typ könnte jetzt evtl. meine IBAN, meine Adresse und alle weiteren Daten haben, die auf einer Gehaltsabrechnung zu finden sind.

Meine Frage ist daher, ob ich noch etwas zum Schutz machen könnte oder ob/wie sinnvoll es ist, eine Anzeige bei der Polizei zu erstatten. Weil bis auf seine Mailadresse, und die IP-Adressen aus der Login-Historie, die aber wahrscheinlich alle über eine VPN sind, habe ich ja nichts.

Ich bedanke mich für alle Antworten vielmals im Voraus...

Bild zu Frage
Virus, E-Mail, Passwort, Hacker, Hackerangriff, Hacking, Malware, Defender, Windows 11
Web.de Account gehackt, Support verweigert Hilfe?

Guten Tag,

Ich habe ein ziemlich blödes Problem. Vor ein paar Wochen wurde mir eine Mail geschickt das mein Passwort meiner E-Mail geändert wurde. Ich habe dann sofort das Passwort geändert da ich denke das dies ein Fremdzugriff war.

Leider habe ich vor ein paar Tagen gemerkt das mein Passwort geändert wurde und ich mich nun nicht mehr in meine Mail einloggen kann.

Passwort vergessen bringt auch nichts da die Email um das Passwort zurückzusetzen auf die Mail geändert wurde auf die ich keinen Zugriff mehr habe.

Also, das Ident Verfahren versucht. Leider auch ohne Erfolg. Zum einen ist die E-Mail über 10 Jahre alt und ich habe damals z.b woanders gewohnt und zum zweiten schätze ich das auch die Daten geändert wurde, da egal welche Daten ich eingebe es immer fehlschlägt.

Als letzte Möglichkeit habe ich dann den Web.DE Support kontaktiert mit der Bitte mir zu helfen. Ich habe auch gesagt das ich mich z.b durch die Sicherheitsfrage(Dieses: Was war ihr erstes Haustier, Name der Mutter etc) verifizieren könne. Als Antwort bekam ich dann die Mail das ich das Ident Verfahren nutzen solle und wenn dies nicht funktionieren sollte, das man mir dann nicht helfen könne. Wirklich toller Support....

Jetzt frage ich mich ob es irgendeine Möglichkeit gibt wieder in die Mail zu kommen ODER diese zumindest löschen zu lassen sodass kein weiterer Schaden entsteht.

Allerdings lässt sich auf einigen Seiten die E-Mail nicht einfach so ändern ohne die Änderung über die Mail zu bestätigen, weswegen das mit dem löschen lassen dann wieder andere Probleme mit sich bringt.

Falls jemand eine Idee hat bitte her damit.

LG

PC, Personalausweis, Web, Passwort, Hacker, Hackerangriff, Passwort vergessen, Problembehebung, web.de, E-Mail-Adresse, persönliche Daten, verifizierung
Phishing Webseite oder nicht?

Hallo,

ich habe vorhin auf der frontpage wenn ich den browser öffne bei MSN-News einen Artikel über Dieter angeklickt. Die URL sah aber verdächtig aus und auf Google finde ich zum besagten Thema auch nicht. Laut Virustotal ist da auch nichts verdächtiges aber ich mache mir trotzdem sorgen, weil dazu nichts berichtet wird und auf Google zur webseite nichts zu finden ist. Auf der Webseite selbst steht zwar dass es von der Tagesschau ist aber in der Url steht ein anderer Name. Handelt es sich um diesen Artikel bzw um diesen Link um eine Phishingwebseite?

https://rumorsabouttill.org/land/?offer=QuantumNeura%20AI&cep=ELW-tBnBP_ETQYJJRd7ClkSPufjYRzZSJYoEXZQl6iUiRiowUVewFICBqpTo1sb4n9IoVd_T9Z49doJsnjVsSMcfJHRyPF71pJX0BC9oUXR44FY0kaG-Pb070f7dh2wlF0ZVidE3gi5y3qyz_FoQXLp5fnUhm-VQuRNK44YWIGnSoPo8qAy0J_1Tx9v0sV2BFTi3p5RTshM-bKswZbI60Ff1OEgvDZOT4ffzmTXapk-dd94egmQ5SOgo8R24BsBzHuZEtA8aXt_TeYAYoytDZYMbAHOyCUpsxhSEmdfU88raOfskMO0_1x1bdseBI1m1UYFbcXKNtlR9tCgu-kzL8doHC23iZ19lTt4Dc3o11bh56apR17rtyA7tYfPkRvJepBucCgOAQVkiung7VLBvluMujvzTkVbcMkSDs-5kmug3F1nNW3atY9OkTU-KIBF13EqLHLpbZGWVtTt29aa_gCxk8lDH9-qMgAlqOXtlBcI-N7mMMAUapyPhmnlNyl7ZxEZjmGq1r6JHbtU2vrOGmA&lptoken=17d0126e063f402171cb&eng_click=07f0b6958643412fb7ad10aad0d779ce&eng_creative_id=1024109949&eng_post_id=1024109949&eng_source=216404&eng_subid=null&eng_website_id=216404&eng_widget_id=177982

Internet, Microsoft, MSN, App, Virus, IT, Webseite, Hacker, Hacking, Informatik, Malware, Phishing, Trojaner
Hintertür in xz gefunden - Kann man überhaupt noch einer Software vertrauen, die man nicht selbst geschrieben hat?

xz ist ein unter Linux weit verbreitetes Datenkompressionsformat. Ein Entwickler der Referenzimplementierung xz-utils (https://github.com/tukaani-project/xz) hat vor kurzem eine Hintertür (CVE-2024-3094) eingebaut, mit der in manchen Linux Distributionen sshd kompromittiert werden kann. Bisher wurde noch kein CVE Score zugewiesen, aber ich schätze diese Hintertür als sehr kritisch ein. Bestimmt werden in den nächsten Tagen Heise, Golem, etc. darüber berichten, und vielleicht sogar die Mainstream Medien.

Die Hintertür wurde gefunden, weil der Schadcode Performanceprobleme in sshd verursacht hat. Glücklicherweise sind die betroffenen xz Versionen noch nicht weit verbreitet, da Pakete in vielen Distributionen nur sehr langsam aktualisiert werden. In Arch Linux wurde bereits eine betroffene xz Version ausgeliefert, aber da sshd in Arch Linux kein gz verwendet, ist ein Angriff in diesem Fall nicht möglich.

Dennoch ist dieser Vorfall äußerst besorgniserregend, da die Hintertür von einem xz Entwickler eingebaut wurde, der bereits mehrere Jahre am Projekt beteiligt war und als vertrauenswürdig galt.

Grundsätzlich galt Open Source Software als weniger anfällig für Hintertüren als Closed Source Software. Man ging davon aus, dass Hintertüren in Open Source Software gefunden werden, bevor sie überhaupt veröffentlicht werden, da der Code von vielen unabhängigen Experten überprüft wird. Ein häufig genanntes Beispiel, das diese These untermauern soll, ist ein 2003 gescheiterter Versuch, eine Hintertür in den Linux Kernel einzubauen.

Der aktuelle Vorfall zeigt, dass es sehrwohl möglich ist, Schadcode unentdeckt in weit verbreitete Open Source Software einzubauen. Dies wirft die Frage auf, inwieweit man fremder Software überhaupt noch vertrauen kann.

Seid ihr selbst von dieser Hintertür betroffen? Wie schützt ihr euch? Habt ihr Zweifel an der Sicherheit von Open Source Software? Denkt ihr, dass dieser Vorfall zu einem Umdenken bei der Vertrauenswürdigkeit von Open Source Entwicklern führen wird?

Weitere Informationen
  • https://lwn.net/Articles/967180/
  • https://lwn.net/ml/oss-security/20240329155126.kjjfduxw2yrlxgzm@awork3.anarazel.de/
  • https://www.cisa.gov/news-events/alerts/2024/03/29/reported-supply-chain-compromise-affecting-xz-utils-data-compression-library-cve-2024-3094
  • https://archlinux.org/news/the-xz-package-has-been-backdoored/
  • https://arstechnica.com/security/2024/03/backdoor-found-in-widely-used-linux-utility-breaks-encrypted-ssh-connections/
  • https://gist.github.com/thesamesam/223949d5a074ebc3dce9ee78baad9e27
Computer, Software, Linux, Sicherheit, IT, Backdoor, Code, Hacker, Hackerangriff, Informatik, IT-Sicherheit, Open Source, Softwareentwicklung, ssh, Vertrauen, Vertrauensbruch, Exploit, Exploits, IT-Sicherheitsexperte, Schwachstellen, vertrauenswürdig, sshd

Meistgelesene Fragen zum Thema Hacker