Hackerangriff auf Dark-Web-Hoster legt 6500 Websites lahm

Einer der größten Anbieter von Hosting-Diensten im Dark Web, Daniel’s Hosting, wurde in der vergangenen Woche das Opfer eines Hackerangriffs. Der deutsche Entwickler Daniel Winzen, der den Dienst betreibt, bestätigte den Vorfall. „Laut meiner Analyse scheint jemand auf die Datenbank zugriffen und alle Konten gelöscht zu haben“, schreibt er auf seiner Website.

Der oder die unbekannten Täter entfernten außerdem das Root-Konto des Servers. Winzen zufolge sind damit auch alle auf der Plattform gehosteten Websites – mehr als 6500 – verschwunden. „Unglücklicherweise sind alle Daten verloren und per Design gibt es keine Backups“, teilte Winzen auf Nachfrage von ZDNet USA per E-Mail mit.

Der Angreifer habe wahrscheinlich nur auf die Datenbank zugreifen können, jedoch mit Administratorrechten. Es gebe keine Anhaltspunkte dafür, dass der Hacker vollständigen Zugriff auf das System hatte. Dateien, die nicht zum Hosting-Setup gehörten, seien nicht betroffen. Allerdings sei seine Analyse der Log-Dateien noch nicht abgeschlossen, ergänzte Winzen.

Derzeit sucht der Betreiber nach eigenen Angaben nach einer Schwachstelle, durch die der Angreifer in das System eingedrungen sein könnte. Bisher fand er lediglich eine seit rund einem Monat bekannte Zero-Day-Lücke in PHP, die am 14. November – einen Tag vor dem Angriff – eine größere Aufmerksamkeit erhielt.

Winzen geht allerdings davon aus, dass diese Anfälligkeit nicht zum Einsatz gekommen ist. Sein System sei zwar betroffen gewesen, einem Angreifer hätten bei diesem Angriff aber die für den Zugriff auf die Datenbank mit den Anmeldedaten benötigten Zugriffsrechte gefehlt.

Winzen geht derzeit davon aus, dass er seine Dienste im Dezember wieder anbieten kann. Nach dem Angriff der Anonymous-Gruppe auf den Dark-Web-Hoster Freedom Hosting II im Februar 2017 war Daniel’s Hosting der größte Hosting-Provider für Dark-Web-Dienste. Da er von Malware bis politischen Blogs praktisch jegliche Inhalte hostete, dürfte die Liste der möglichen Täter sehr lang sein, angefangen bei rivalisierenden Cyberkriminellen bis hin zu staatlich unterstützten Hackern, die gegen politische Aktivisten vorgehen wollen.

Möglicherweise leistete Winzen auch selbst einen wichtigen Beitrag zu dem Angriff. Der Source-Code seines Diensts liegt nämlich unter einer Open-Source-Lizenz auf GitHub vor, was es jedem interessierten Angreifer ermöglichte, nach Fehlern und Sicherheitslücken zu suchen.