Verdächtiger neuer Benutzer

Zufällig habe ich einen neuen Benutzer entdeckt:

Dass er Super User Berechtigungen hat, ist natürlich höchst beunruhigend!
Man beachte auch den Tippfehler in der E-Mail-Adresse extentions@joomla.prg und die seltsame Zeitangabe bei «Letzter Besuch».
Dieser Benutzer ist bei allen meinen Webseiten vorhanden!!!!

Vielen Dank für den Hinweis!
Habe gleich alle Seiten kontrolliert. Glücklicherweise habe ich keine ungewöhnlichen USer gefunden.

Gruss
Urs

Ich habe keine verdächtigen Benutzer.

Was steht in den Benutzeraktivitäten über den User?
 

Er war 4 Sekunden lang eingeloggt:

Benutzer system hat sich aus der Administration abgemeldet     Benutzer     Samstag, 21. Oktober 2023
21.10.2023 11:41:30
Benutzer system hat sich in der Administration angemeldet     Benutzer     Samstag, 21. Oktober 2023
21.10.2023 11:41:26

ich habe auch nichts verdächtiges gefunden, alles OK

schrieb:

Zufällig habe ich einen neuen Benutzer entdeckt:

Dass er Super User Berechtigungen hat, ist natürlich höchst beunruhigend!
Man beachte auch den Tippfehler in der E-Mail-Adresse extentions@joomla.prg und die seltsame Zeitangabe bei «Letzter Besuch».
Dieser Benutzer ist bei allen meinen Webseiten vorhanden!!!!

 

Gibt es mittlerweile eine Auflösung dieses Problems?

Die Aussage, dass dieser Account bei allen meinen Webseiten vorhanden ist, muss ich zurücknehmen! Ich habe ihn schlussendlich bei 23 meiner ca. 80 Webseiten gefunden.
Ca. 40 von 80 Webseiten sind beim gleichen Hosting-Provider, die übrigen verteilen sich auf mehrere weitere Provider.
Von den oben genannten 40 Webseiten beim gleichen Hosting-Provider waren 23 Webseiten betroffen, 17 nicht.
Allerdings konnte ich keinen Zusammenhang (keine Gemeinsamkeit) dieser 23 Webseiten feststellen. Sie haben kein gemeinsames Root-Verzeichnis, ja sie sind nicht einmal auf dem gleichen physischen Server gespeichert.

Leider habe ich diesen Account erst anfangs Dezember bemerkt. Die Logfiles des Monats Oktober waren nicht mehr vorhanden. Ich habe noch nicht ganz aufgegeben, aber es dürfte schwierig sein, die Hintergründe dieses Vorfalls zu ermitteln. Ich kontrolliere seither die betroffenen Webseiten regelmässig. Es wurde kein neuer Super User Account mehr registriert.

Was mir gerade in den Sinn kommt: ich überwache ja alle meine Webseiten mit mySites.guru. Sobald irgendwo ein Account registriert wird (sowie bei diversen anderen Vorkommnissen im Back-End) bekomme ich jeweils eine Benachrichtigung per E-Mail. Ich kann mit absoluter Sicherheit ausschliessen, dass ich in diesen 23 Fällen ein solches Mail bekommen habe. Entweder ist es dem Hacker gelungen, das Plugin von mySites.guru auszutricksen oder der Account wurde sogar auf diesem Weg eröffnet???

Gut hast Du mich darauf angesprochen. Manchmal findet man neue Ideen erst dann, wenn man mit jemandem darüber redet... Ich bleibe dran!

 

Dass ich in der error.php täglich mehrere Einträge
joomlafailure    Benutzername und Passwort falsch oder das Benutzerkonto existiert noch nicht.
habe, ist wohl normal, oder?

mySites.guru

da bin ich nich so der Fan von. Ich halte nichts davon meine Seite durch Drittanbieter fernsteuern lassen zu können. Ähnlich ist es mit WordPress, wenn man seine Seite bei wordpress.com registriert und die xmlrpc-Schnittstelle offen ist...
Ich verstehe jedoch, wenn man als Agentur/Designer seine Seiten möglichst bequem warten möchte. Da geht es ja oft um eine Vielzahl an Seiten. Muss man halt sicherheitstechnisch abwägen...
Ein andere Single-Point-for-Hackers wäre ein Trojaner  in der lokalen Umgebung, der Passwörter und/oder FTP-Zugänge ermittelt etc.pp. Aber ich denke das wirst Du alles geprüft haben.
Du wirst auch Recht haben, das man jetzt nach so langer Zeit kaum noch sinnvolle Logs vorhanden sind, um eine saubere Analyse zu machen.

Ist denn das administrator-Verzeichnis mit einem wirksamen .htaccess-Passwortschutz versehen. Nach meiner Erfahrung ist das einer der wirkungsvollsten Maßnahmen.
 

Deine Vorbehalte gegenüber solchen Verwaltungs-Tools wie mySites.guru kann ich nachvollziehen. Aber es ist eine unglaubliche Erleichterung der Arbeit, wenn man die meisten Dinge (Backups, Aktualisierung von Joomla, Aktualisierung von Erweiterungen, Massen-Installation von Erweiterungen, Uptime-Überwachung, Überwachung von Ereignissen im Back-End, Malware-Scan, einiges davon sogar scheduled, usw. von einer zentralen Konsole aus erledigen kann! Wenn man eine gewisse Anzahl von Webseiten betreut und seine Verantwortung ernst nimmt, ist es praktisch unmöglich, dies alles zu tun, indem man sich einzeln in jede Webseite einloggt. Das müsste man ja fast täglich tun.

Es gibt auch Erweiterungen, welche nicht das Joomla-Update System benutzen. Die Suche nach solchen veralteten Extensions ist ein riesiger Aufwand, mit mySites.guru ein Kinderspiel. Das klingt jetzt wie ein Werbespot, aber mySites.guru erleichtert meine Arbeit massiv! Ich bin stolz darauf, dass alle meine > 80 Webseiten (abgesehen von einer Handvoll Ausnahmen) auf Joomla 5 sind und ich behaupten kann, alle Erweiterungen sind auf dem neusten Stand. Die fünf Webseiten, die noch mit Joomla 4 laufen, konnte ich noch nicht aktualisieren, weil der Hosting-Provider eine extrem alte Datenbankversion einsetzt, welche von Joomla 5 nicht mehr unterstützt wird. Auch dafür gibt's bei mySites.guru ein Tool: der Joomla 5 Requirement Check. Da sehe ich auf einen Blick, welche Webseiten nicht auf Joomla 5 aktualisiert werden können und weshalb nicht.

Ohne dieses Tool müsste ich wohl einen zusätzlichen Mitarbeiter einstellen