Vermutlicher Hacking-Angriff Tausende neue Benutzer

Hallo liebe Community,

ich bin vermutlich Opfer einer Hacking-Attake geworden, welche bereits 3 Tage andauert und Frage Euch nun um Rat, das Leck zu finden.

Ich verwende die neuste Joomla 4 Version auf einem Server von All-Inkl.com. Ich habe in joomla keine Erweiterungen mit direkten Fremdzugriffen installiert.

Das Hacking gestaltet sich in Form von minütlichen Anlegungen von Benutzerkonten (erhalten die Zugriffsstufe Registered und Public). Die Benutzerregistrierung ist zwar aktiviert (Zugriffsstufe nur Registered) mit Benutzerfreischaltung durch Mail. Die Mail-Adressen existieren jedoch nicht und es hat sich auch mit diesen Konten keiner im CMS eingeloggt. Deaktiviere ich die Benutzeraktivierung in der Konfirmation, kann er jedoch weiterhin User anlegen.

Es handelt sich hierbei um rumänische Mail-Adressen.

Laut Log-Bericht erfolgt ein hohes Traffic von meiner eigenen IP-Adresse

Ich habe schon alle Zugriffsdaten getauscht, Datenbank-Daten getauscht und Internet/W-Lan Daten getauscht.

Habt ihr eine Idee, wie ich dem Spuck ein Ende setzen kann oder das ganze zumindest genauer lokalisieren kann?

Vielen Dank

Hi Dirk,

danke dir für deinen Ansatz. Hab ich gemacht, (alle Accounts höher wie Registered gelöscht und neu) und Verzeichnisschutz auf /administrator.

Leider treibt er weiterhin sein Spielchen.

Hallo Uwe,

weil ich seit 3 Tagen an allen Stellen versuche ihn rauszukicken. Auch die Webseite offline zu machen bringt nix. Ich glaube die einzigste Zeit, die funktioniert hat, war, wo ich die Datenbank und somit das gesamte System down-geschaltet hab. (Sprich Verknüpfung gelöscht hab).

Wie meint ihr das? Ja die Seite ist noch online erreichbar. Wenn ich die ja sperre, wie auch immer das gehen soll. (Rufe gleich mal beim Provider an) Dann komme ich ja selbst nicht mehr drauf, oder stehe ich gerade auf dem Schlauch.

Konfiguration war gemeint

Wer = Der Hacker

Ja ist alles mit Captcha v2 gesichert. Ja hab den Passwortschutz nun auch auf die .htaccess gelegt, sowie die Webseite beim Provider sperren lassen. Morgen muss die IT-Firma dran wg Virenbeseitigung. (Hole grad die aus dem Beitrag von WM-Loose). Vielen Dank für die ganze Hilfe bisher.

- Thema dankend geschlossen -