Serverstatus

am Donnerstag, den 15.04.2010 werden wir Erweiterungsarbeiten an unseren Stellplätzen im Rechenzentrum in Nürnberg vornehmen. Dies geschieht, um Ihnen auch weiterhin hochwertige Dienste bereitstellen und eine ausgezeichnete Verfügbarkeit garantieren zu können.

Im Zuge dieser Erweiterung werden die folgenden drei Server an einen neuen Stellplatz verbracht werden:

• venus.a1a-server.de (alle Webhosting-Accounts mit Prefix “web”)
• mars.a1a-server.de (alle Webhosting-Accounts mit Prefix “mars”)
• terra.a1a-server.de (kunden.aditsystems.de mit allen Diensten)

Während des Umzuges wird es zu Einschränkungen der Erreichbarkeit von ca. 15min pro Server kommen. Betroffen sind dabei u.a. folgende Dienste:

• Webseiten
• Datenbanken
• E-Mail-Dienste

Wir bitten, diese Unannehmlichkeiten zu entschuldigen. Da wir jedoch auf diesem Wege unsere Dienstleistungen für Sie weiter verbessern können, hoffen wir auf Ihr Verständnis.

Über den aktuellen Status unserer Server können Sie sich immer auf folgender Webseite informieren:

http://serverstatus.aditsystems.de/

Wir bitten um Verständnis und verbleiben

Mit freundlichen Grüßen,

Ihr Team von ADIT Systems

[Update 00:30 Uhr: Die Arbeiten wurden erfolgreich abgeschlossen, die Systeme stehen wieder wie gewohnt zur Verfügung.]

Einer unserer Hosting-Server mars ist derzeit auf Grund eines Hacking-Angriffes offline, wir arbeiten daran, den Dienst schnellstmöglich wieder aufzunehmen. Weitere Informationen finden Sie zukünftig in diesem Blog-Post.

Genaue Ursachen über Ursache oder Angriffsvektor sind noch nicht bekannt.

19:17 Uhr: Anstatt das bestehende System neu zu installieren, ziehen wir alle Kundenseiten auf einen neuen Server um. Diese Maßnahme sollte zwar eigentlich nachts stattfinden, durch die Komprimitierung des Servers ziehen wir dies vor.

20:51 Uhr: Der Transfer der Webseiten auf das neue System ist abgeschlossen, alle Datenbanken wurde ebenfalls wieder eingespielt. Da der Angreifer aber alle Index-Dateien sowie Bilder ausgetauscht hat, läuft aktuell die Wiederherstellung der Kunden-Webseiten aus dem Backup. Durch den Server-Wechsel haben alle Webseiten auf dem Server “mars” eine neue IP-Adresse erhalten. Bei einem “ping” auf die Domain muss eine IP angezeigt werden, die mit “62.146.15.” beginnt. Weitere Informationen zu “ping” finden Sie in unserem Wiki.

21:12 Uhr: Das Mailsystem ist wieder online, FTP-Zugriff ebenfalls. Die Wiederherstellung der Webseiten aus dem Backup dauert derzeit noch an.

01:10 Uhr: Auf Grund von Problemen an der BackupPC-Software müssen alle vom Hack betroffenen Webs einzeln zurückgespielt werden – was nicht automatisiert möglich ist. Die Störung der Webseiten dauert also noch an.

02:53 Uhr: Die Wiederherstellung der Kunden-Webseiten ist abgeschlossen, in Kürze erhalten alle betroffenen Kunden einen Newsletter mit weiteren Informationen.

03:55 Uhr: ns2.as-dns.de ist wieder online, Rundmail wurde verschickt. Gleichzeitig die Sicherheit auf mars/venus punktuell erhöht – weitere Maßnahmen sind erst nach Einsicht in die (nur geringfügig) vorhandenen Log-Dateien möglich.

11:39 Uhr: der Weg des Angreifers ist nun nachvollzogen:

• Upload einer PHP-Shell via FTP, das Passwort des Kunden-Accounts wurde vermutlich extern ausgespäht: der Kunde wurde inzwischen gesperrt
• Verwenden eines Kernel-Exploits, um die Rechte des System-Accounts “root” zu erlangen: leider ermöglichte der eingesetzte Kernel den Exploit und war nicht dagegen geschützt
• Ausführen eines “Defacement”-Skriptes, um die ebenfalls hochgeladene index.html auf alle Accounts zu übertragen: dies geht soweit, dass die Partition, die die Dovecot-Indizes zur Performance-Steigerung enthält, ebenfalls überschrieben wurde
• Löschen aller auffindbaren Log-Files und Rückschlüsse auf den Angreifer

Da wir jedoch zusätzliche Logs führen, die speziell geschützt sind, sowie das Skript des Angreifers nur Log-Dateien in einem bestimmten Schema gelöscht hat, konnten wir den Weg wie oben beschrieben einigermaßen nachvollziehen. Der Angreifer hat dabei eine IP-Adresse eines türkischen DSL-Anbieters verwendet, wodurch Strafanzeige o.ä. unsinnig ist – der Täter kann niemals ermittelt werden.

Sehr geehrte Kunden,

Diese eMail erreichte Sie am gestrigen 22.12.2009, die Orginal-Nachricht finden Sie auch hier.

Weihnachtsgrüße

Weihnachten steht vor der Türe, Neujahr ist nicht mehr weit – somit endet ein erfolgreiches Jahr 2009.

Uns bleibt nur noch, Ihnen und Ihren Kollegen, Familien und Freunden geruhsame Weihnachtstage sowie einen guten Rutsch nicht nur in das neue Jahr 2010, sondern für das gesamte Jahrzehnt zu wünschen.

Wir freuen uns darauf, Ihnen auch weiterhin in der gewohnten Qualität zur Verfügung stehen zu können.

Wartungsarbeiten

Im Zuge unseres derzeitigen Expansionskurses müssen wir die bisher genutzten IP-Adressen unserer Webhosting-Serversysteme anpassen.

Diese Anpassung erfolgt ausschließlich nachts bzw. am Wochenende/Feiertagen, womit die Änderungen für Sie unbemerkt stattfinden werden.

Für Sie als Anwender ändert sich nichts, die Domain-Namen bleiben weiterhin unverändert.

Bei Fragen stehen wir natürlich jederzeit zur Verfügung.

Über den aktuellen Status unserer Server können Sie sich immer auf folgender Webseite informieren:

http://serverstatus.aditsystems.de/

Wir bitten um Verständnis und verbleiben

Mit freundlichen Grüßen,
Ihr Team von ADIT Systems

Sehr geehrte Kunden,

Die HTML-Version der Rundmail finden Sie unter folgender URL: http://www.aditsystems.de/nl/2009-07-17.html

1. Wartungsarbeiten

Wie Sie dem Betreff bereits entnehmen können, sind wir gezwungen, Wartungsarbeiten am Server venus.a1a-server.de, auf dem sich Ihre Webpräsenz befindet, durchzuführen.

Betroffen von den Wartungsarbeiten sind ausschließlich Kunden, deren Benutzername mit “web” beginnt.

Um den regulären Betrieb so wenig wie möglich zu stören, werden wir diese Arbeiten am Samstag, den 18.07.2009, zwischen 00:00 Uhr und 05:00 Uhr durchführen.

Während dieser Zeit kann es zu Störungen der Erreichbarkeit Ihrer Webseite und der weiteren Dienste kommen.

Grund für die Wartungsarbeiten ist der ausgeschöpfte Platz im angemieteten Rack im Rechenzentrum, weshalb wir die Serversysteme in ein neues, größeres Rack umziehen.

2. Serverstatus

Über den aktuellen Status unserer Server können Sie sich immer auf folgender Webseite informieren:

http://serverstatus.aditsystems.de/

Wir bitten um Verständnis für die Störung und verbleiben

Mit freundlichen Grüßen,
Ihr Team von ADIT Systems

Nach einem Hacker-Angriff auf eine Webseite auf dem Server venus ist derzeit das Mailsystem gestört, die Behebung des Problemes erfolgt aktuell.

Update: Die Störungen sind vorerst beseitigt, der Mailserver funktioniert wieder normal. Wir erstellen derzeit Maßnahmen, die solche Angriffe zukünftig vermeiden sollen.