Office Computer von ca. 18:30 Uhr bis 22:15 Uhr nicht angefasst. WinSCP aber offen. Um ca. 22:18 Uhr wieder kurz aktiv am Computer. Passwort ist nicht gespeichert in WinsSCP auf Office Computer. Sessions waren aber noch nicht abgelaufen. Vermutlich. Habe die meisten dann geschlossen. Eine noch gerefreshed. Nochmal refresh um 23:20 Uhr. Dann Computer ausgeschaltet. SSH Session von Shell war auch noch aktiv. Somit sind WinSCP und Shell potentiell am refreshen. Server logs ansehen, für die Tage, an denen auf meinem Computer Updates gemacht wurden. Siehe "Updateverlauf anzeigen". Muss natürlich nicht sein. Dass dort auch WinSCP offen war. Qualitätsupdates 2023-05-20 2023-05-11 2023-04-13 2023-03-17 2023-02-27 2023-02-26 2023-01-28 2023-01-23 2023-01-14 In der Nacht vo Mo 22. auf Di 23. Mai bin ich aufgewacht und habe gesehen, dass der Computer (home) wieder läuft. Als ich gerade aufstehen wollte, hat er sich ausgeschaltet. Ich bin dann an den Office Computer um diverse Passwörter zu ändern. Am nächsten Morgen habe ich das Ereignisprotokoll vom home Computer angesehen. Im Ereignisprotokoll ist kein Systemstart in der Nacht zu sehen ????? Auch nicht etwas beim Office Computer. Allerdings ist im Ereignisprotokoll vom Office Computer zwischen 18:19 am 22. Mai und 03:11 am 23. Mai überhaupt kein Eintrag zu sehen. Da ist der Computer aber eigentlich schon gelaufen (Ich war mit Mädels Papaabend). Das Passwort für Server Login ist nur im WinSCP gespeichert und im Password Safe. Ich gebe es täglich sehr häufig ein, wenn ich mich auf den Server per SSH einlogge und dort Kommandos ausführe. Two step Verfification für Microsoft Account aufsetzen. Telefonnummer wurde bei Passwortänderung schon verwendet. Wenn tatsächlich ein Passwordsniffer verwendet wurde, sollte ich mindestens alle sehr wichtigen Passwörter ändern. microsoft (geändert) gmail.com (geändert) facebook (geändert) was noch? Dann hätte aber auch jemand Zugriff auf das Password Safe File Dort wären natürlich dann alle möglichen Passwörter verfügbar. Über Chrom Password Manager sind dann auch noch viele andere Passwörter gespeichert. Über die Shoppingseiten könnten Produkte gekauft werden. Wenn jemand Zugriff auf mein gmail Konto hatte, dann ist natürlich noch viel mehr Info geleakt. Wenn der Desktop vollkommen gehackt ist, dann könnte das riesige Ausmasse haben. Alle möglichen Passwörter und persönliche Infos. Auch Kreditkarten Infos wären dann offen inkl. CVV (oder so) Nummer. Wenn alle Files vom Desktop bei jemand anderem verfügbar sind, würde das sogar heissen jemand könnte die Informationen von den letzten Wochen auswerten. Dort würde man dann bei den häufigsten Aktionen auf die Files stosse, die um den Fall geht. Da würde man dann Material lesen können, mit dem man evtl. auch WeCoMa erpressen könnte. Das wäre dann aber schon ein komplizierter Fall. Muss aber nicht sein, dass ein Keyboardsniffer eingesetzt wurde. Aber wieso konnte dann auf den Server eingeloggt werden. Man sollte die Aktivitäten überprüfen können. Wäre es dann evtl. auch möglich, dass ein Zugriff auf Papis Computer möglich war, während einer TeamViewer Session? Eher nicht. Gab es verdächtige Ereignisse? Logins von anderen Computern waren nicht notwendig, wenn mein Computer gehackt ist. Kann man während ich am Computer eingeloggt bin, etwas anderes machen, so dass ich es nicht merke? Evtl. nicht. Vielleicht ist auch das der Grund, weshalb die Aktivitäten in der Nacht stattfinden? Ohne dass ich eingeloggt bin? In gmail kann man natürlich über meinen Desktop einloggen. Geht so etwas auch, wenn der User nicht eingeloggt ist. Vermutlich schon. Update Prozesse können ja auch gefahren werden. Das wäre eine generelle Frage. Ist so etwas möglich. Aber auf jeden Fall gab es die Server Logins in der Nacht. Somit muss es möglich sein. Ereignisprotokoll ansehen, was in der Nacht von Montag auf Dienstag aktiv war. Computer war ausgeschaltet. Hat sich eingeschaltet und dann wieder ausgeschaltet. Man könnte das Ereignisprotokoll auch noch weit in die Vergangenheit prüfen. Aktivitäten in der Nacht und sonst. Evtl. temporärer Passwort für postgres verwenden, solange das Passwort für git noch nicht geändert ist. Server Files für Infoausbeute ist das eine. Was ist alles an Info auf dem Desktop vorhanden? Das ist eigentlich noch viel krasser. Dokumente (ID, Kinder, Fahrzeuge), Infos, Passwörter, Kunden, privates, Fotos ... Wenn über meinen Computer ein Login auf den wecoma Server gemacht wird, dann ist evtl. schon länger etwas am tun und es wurde schon vieles ausspioniert. Zuerst lokal auf dem Desktop und das auf dem Server. Aber wie kommt man zum Passwort für den Server (über das gespeicherte Passwort von WinSCP? Wenn das schwierig ist zum herausfinden, dann muss sich jemand schon Mühe gegeben haben). Evtl. könnte auch ich privat erpresst werden. Sehr verdächtig sind auf jeden Fall: Die regelmässigen Logins auf dem Server in der Nacht. Die Regelmässigkeit ist seltsam, da sie sonst am Tag nicht vorkommt. Wenn dies von Sessions von WinSCP käme, dann müsste das am Tag ja auch der Fall sein. Dass der Desktop sich im ausgeschalteten Zustand, in der Nacht einschaltet. Etwas schräg ist, dass dies in der Nacht geschieht, statt einfach am Tag, wenn der Computer sowieso läuft. Könnte sein, damit die Aktivität nicht am Tag auffällt. Dann ginge man davon aus, dass es nicht auffällt, wenn der Computer in der Nacht läuft. Wenn der Deksktop gehackt ist und ein Keysniffer eingesetzt wurde, dann sind natürlich alle Passwörter offengelegt. Aber warum sollte dann jemand über meinen Desktop auf den Server zugreifen. Dann könnte man das ja direkt mit user und Passwort von einem anderen Computer aus machen. Dann würde man das natürlich auf dem Server sehen. Aber der Zugang wäre nicht eingeschränkt. Wenn schon manuell gehackt wurde, wieso nicht dann auch direkt auf dem Server? Ein automatisierter Folgeprozess? Bitdefender hat nichts gefunden. Auf jeden Fall nichts in den Foldern, die nicht excluded sind. Wie ist der Computer infiziert worden? Könnte das auch über ein pull vom git Repo passiert sein? Dann wäre dort die Schadsoftware zu suchen. Das Herauffahren des Computers könnte auch rein von einem Update Prozess kommen. Aber im ausgeschalteten Zustand? Dagegen spricht, dass in der Nacht von Freitag auf Samstag doch recht viel Aktivität im Ereignisprotokoll zu sehen war. Ausserdem sprechen die Logins auf den Server in der Nacht dagegen. Findet man aus dem Ereignisprotokoll heraus, was den Computerstart und das Login gestartet hat? Ste fragen, wie gut er dem Kollegen vertraut Kollege Ste kontaktieren Checken, wieso sich PC im ausgeschalteten Modus einschaltet. git Passwort ändern, ansonsten kann man das DB Passwort immer wieder herunterziehen wecoma@srv3:~$ cat .gitconfig [user] name = David Weber email = david.weber@wecoma.ch $ git config --global user.name 'your user name' $ git config --global user.password 'your password' DB Passwort ändern (ist im Code) [geändert] HB FTP Passwort ändern (ist im Script) hubert Passwort ändern (ist im Code) david Passwort ändern (ist im Code) Check postgres user. Hat kein Passwort? Unix user ist etwas anderes als DB user Wenn alle Files und aller Code für jemanden verfügbar ist. Was kann damit erreicht werden? Welche Informationen sind offengelegt. Z.B. auch Todo Files und Bankabrechnungen Todo Files checken. Manchmal mit Passwort. Die ganzen E-Mail Konten sind dann bekannt weberdavid@gmail.com wecoma@gmail.com Passwort zum GMX PDFs beziehen? Wo sind überall Passwörter in plaintext gespeichert? HB FTP GMX Account (Passwort in .fetchmailrc) DB postgres user in Code (ist geändert) Ist das weberdavid@gmail.com Passwort ersichtlich? git Passwort? The generated public key file can be found in the user folder: C:\Users\david\.ssh\id_rsa.pub Transfer this file to the server, e.g. to /home/wecoma/temp/id_rsa.david.pub. Wo wird das Passwort gesetzt? Auch Papi fragen wegen Passwort May 22 23:02:12 srv3 systemd[1]: Starting User Manager for UID 1001... May 22 23:02:12 srv3 systemd[1]: Started Session 1926 of user wecoma. May 22 23:07:07 srv3 systemd[1]: Stopping User Manager for UID 1001... Das war das der Upload vom File für die Eröffnungskurse von SIGN:SW May 21 15:54:10 srv3 systemd[1]: Started Session 264 of user hubert. May 21 15:54:48 srv3 systemd[1]: Started Session 266 of user hubert. May 21 15:55:18 srv3 systemd[1]: Started Session 269 of user hubert. May 21 15:56:23 srv3 systemd[1]: Started Session 271 of user hubert. May 21 15:56:48 srv3 systemd[1]: Started Session 273 of user hubert. May 21 15:57:38 srv3 systemd[1]: Started Session 277 of user hubert. May 21 15:58:06 srv3 systemd[1]: Started Session 279 of user hubert.