In Sachen WordPress: Botnet-Angriffe

Wie Heise.de berichtet, finden derzeit weltweit Angriffe auf WordPress-Installationen statt. Dabei scheint ein Botnet von einer begrenzten, aber doch sehr umfangreichen IP-Zahl Zugriff auf alle möglichen WordPress-Istallationen zuzugreifen, und deren Zugangsrechte via Wörterbuchangriff auf Schwachstellen abzuklappern, um anschließend – soweit ich das verstanden habe – Maleware zu installieren (und zu verteilen?) und die Rechenpower des benutzen WordPress-Servers anzuzapfen.

Was ich mich nun frage: In wie weit betrifft mich das? Einerseits benutze ich keine selbst eingerichtete Installation, sondern die 3Gb, welche mir „WordPress“ kostenlos und trotzdem werbefrei zugesteht (Danke dafür, WP!). Andererseits kann in dieses fertige Gefüge keine Plugins integrieren – also auch keine Plugins, mit denen ich die Sicherheit der Seite erhöhen kann, wie z.B. Passwortzugriffsbeschränkungen von einer bestimmten IP.

Und damit stehe ich etwas ratlos im Raum, denn ich finde einfach keine Information, wie ich sinnvoll auf diese Nachricht reagieren kann/muss (bzw. ob ich gar nichts machen brauche/muss – ohne mich, diese Seite & Lesende dieser Seite zu gefährden).

Was macht Ihr?

Advertisements

9 Gedanken zu „In Sachen WordPress: Botnet-Angriffe

    • Also ich habe just gerade (16:27 Uhr) keine Probleme, ihre Seite zu erreichen. Aber so äußert sich das „Problem“ auch nicht. Wenn ein Bot die Seite infiltriert, nutzt er Speicherresourcen und Serverrechenleistung, um sich weiter auszubreiten, andere Seiten zu hacken, und gegebenenfalls Leserrechner zu infiltrieren (soweit ich das verstanden habe). Ein guter Bot macht das im Hintergrund, um möglichst nicht vom Seitenbesitzer entdeckt zu werden.

      Schutz bietet z.B. eine Passwortabfrage-Begrenzung. Die kann ich blöderweise bei mir nicht installieren, da ich keine Plugins hochladen kann (der Button fehlt im Dashboard).

  1. Es wird eine Wörterbuchattacke gegen den Standard-Admin-Account einer eigenen WordPress-Installation auf eigenem Server/Webspace gefahren. Das heißt konkret für dich: Du kannst ungestört weiter über den Unsinn der kranken Kassen berichten, da du nicht davon betroffen bist.

  2. Da du bei WordPress mit auf den Servern bist bist du zwar eines von (sehr vielen) möglichen Zielen. WordPress hat ein gewisses Interesse daran das die eigenen Server oder allgemein das Blogsystem nicht gehackt wird. Heist du bekommst automatisch die Neusten und sichersten Versionen.
    Da hier der Admin-Account angegriffen wird, musst du das Passwort von diesem nur ausreichend kompliziert machen.
    Dabei muss es nicht mal schwer zu merken sein. Keine Wörter verwenden und Länge und Komplexität
    Anfangsbuchstaben von leicht zu merkenden Sätzen
    AvlzmS macht 6^52 = 19.770.609.664 Möglichkeiten
    die Länge des Passworts steht im Exponenten, also erhöhen wir diese, und dann auch gleich die Basis:
    A++v–l++z–m++S–
    Gibt glaub ich dann 96 mögliche Zeichen die man mit der Tastatur zaubern kann
    96^18 = 4,796*10^35
    Aber immer noch recht leicht zu merken, aber der Computer muss bei beiden alles von aaaaaa bis naja ewig durchprobieren.
    Ich melde mich nur auf den wenigsten Seiten an, und nutze unterschiedliche Passwörter lasse da den Domain-Namen mit einfließen z.B. hier knwscm anhängen, mittig rein jeder 2. Buchstabe oder sowas, will hier ja nur Ideen vorbringen.

    • Kommt drauf an, ob das Passwort als HASH abgelegt wird. Ist dieser Hash ungesalzen, kann das Passwort wurst sein, solange das ausprobierte den selben HASH-Wert ergibt. Passwörter sind auch nicht mehr das, was sie mal waren…

  3. Wie schon von einem anderen Kommentator angedeutet: das wordpress.com-System dürfte relativ uninteressant sein, weil wir Blogger an die sensiblen Zonen eh nicht herankommen. Von daher mach ich erst mal gar nix.
    Auch pharmamas Blog ist, soweit ich das erkennen kann, ein wordpress.com-Blog und nicht auf eigenem Server, auch wenn eine eigene URL vorn dransteht. Aber die eigene URL wird mir von WordPress dann und wann ja auch mal angeboten. Kostenpflichtig natürlich – weshalb ich ablehne.

Knick hier Deine Gedanken (Mit Nutzung der Kommentarfunktion erklären Sie sich damit einverstanden, dass alle eingegebenen Daten und Ihre IP-Adresse nur zum Zweck der Spam-Vermeidung durch das Programm Akismet in den USA überprüft und gespeichert werden.):

Trage deine Daten unten ein oder klicke ein Icon um dich einzuloggen:

WordPress.com-Logo

Du kommentierst mit Deinem WordPress.com-Konto. Abmelden / Ändern )

Twitter-Bild

Du kommentierst mit Deinem Twitter-Konto. Abmelden / Ändern )

Facebook-Foto

Du kommentierst mit Deinem Facebook-Konto. Abmelden / Ändern )

Google+ Foto

Du kommentierst mit Deinem Google+-Konto. Abmelden / Ändern )

Verbinde mit %s