Accountdaten geklaut und Server gegrieft

[GerFisch]

Guten Tag an die Community,
Ich stehe vor einem für mich sehr wichtigen Problem und finde keine Lösungen.

Nichtsahnend habe ich mich heute mittag mal durch meine üblichen Foren geklickt. Dabei bin ich über die frische Meldung eines Spielers gestolpert, dass eine Gruppe von Leuten (auch hier im Forum vertreten) einen der Server zerlegt, auf dem ich als Administrator aktiv bin.
Wenige Minuten später enthüllt ein Ausschnitt aus der Log, dass jemand sich mit meinen Account auf den Premium-Bungeecord-Server eingeloggt hat und der Gruppe die nötigen Rechte verteilt hat, um ihre sonntägliche Zerstörungswut auszulassen. Soweit eigentlich kein Problem: Spieler haben dankenswerter Weise schnell gehandelt und Meldung erstattet und wofür hat man denn Backups.

Was mich nun aber beschäftigt:
Ich schätze mich eigentlich als sehr vorsichtig ein. Alle Accounts bei jedwedem Dienst haben unterschiedliche, lange und unmöglich zu erratene Passwörter. Die Accounts sind immer auf unterschiedliche Email-Adressen aufgebaut, die wiederrum von verschiedenen Kontakt-Emailadressen gesichert sind. Wieder überall durch genannte Passwörter geschützt.
Grundsätzlich administriere ich meine Accounts eigentlich nur über mein (nicht ge-jailbreak-tes) IPad [IOS ~ Virenfrei? (Entschuldigt mein mangelndes Wissen in diesem Bereich)].
Auf meinem PC läuft eine immer aktuelle Version vom GData-Komplettpaket und mehr oder weniger tägliche Virenprüfungen.
Zugangsdaten werden von mir niemals auf anderen Plattformen zu Account-Verifizierungen o.ä. gemutzt (siehe enjin).

Somit kann ich mir beim besten Willen keine Möglichkeit ausdenken, wie man an meine Accountdaten kommen sollte.

Nerviger noch: Mojang will mir bedauerlicher Weise keine Reset-Emails schicken. Egal ob für Passwort oder Sicherheitsfragen, die Meldung erscheint, dass eine Email geschickt wurde, die in der Meldung enthaltene Adresse ist korrekt. Warum also bleibt mein Posteingang leer. (Natürlich habe ich mich schon an den Kundensupport gewendet, der lässt aber, vermutlich wegen der problematischen Login-Server und damit verbundenen Anfragen, noch länger auf sich warten, als normaler Weise schon.

Nun zu meiner Frage: Hat oder hatte jemand ein ähnliches Problem, von solch einem gehört, oder vielleicht irgendwelche Vorschläge?
Darf ich in drei Tagen eine Nachricht von Mojang erwarten, in der es heißt, dass es wohl während der Login-Server-Probleme zu Datenlecks gekommen ist?
Oder bleibt mir doch nur übrig, zu warten, was mir zugegebener Maßen gerade schwer fällt?

Beste Grüße und dankbar für etwaige Rückmeldungen,
GerFisch

 

[Vanityra]

Es gibt Hacked-Clients, die einen "Key-Logger" oder so enthalten, der Entwickler dessen kann somit sich einfach deinen Account nehmen.

Die Reset-Mail kann mehrere Stunden brauchen, bis sie ankommt.

Kannst du dich auf mojang.com/minecraft.net einloggen, um dein Passwort zu ändern?

 

[Victini151]

Ganz sicher, dass er über Bungeecord rein ist? Wenn die zugrundeliegenden MC-Server nicht entsprechend geschützt sind (Listen-IP, Firewall, entspr. Plugins) kommt man da mit Cracked MC rein.

 

[SilberRegen]

Würde der Vermutung von @Victini151 mal nachgehen.
Die Variante ist nämlich wesentlich einfacher für einen Angreifer, als Passwörter zu knacken.
Sicherheitshalber würde ich die natürlich auch ändern, aber sollte die genannte Lücke am Server tatsächlich bestehen, muss der Betreiber da mal nachbessern, oder er wird noch häufiger Spaß haben.

 

[Wolfi15]

Was ich kenne ist, wenn man die BungeeCord Einstellungen nicht richtig macht, dass sich Dritte einfach einen localen Bungeecord Server machen können und eure ServerIP+Port darin eintragen können und den Bungeecord Server einfach für OfflineUser stellen und sich dann mit deinem Namen anmelden.

lobby:
motd: 'Serverlobby'
address: 127.0.0.1:<PORT>

Wenn ich mich täusche, müsste das so in der config aussehen um das zu vermeiden

 

[Inkemann]

Ja, @Victini151 Idee ist sehr, sehr wahrscheinlich die richtige. Passwörter knacken ist viel zu schwer und wenn du keinen Custom Client benutzt (was ja @Vanityra denkt), dann bist du da eigentlich auch auf der sicheren Seite. Ich würde auch ganz klar auf den Server tippen.

 

[GerFisch]

@Vanityra
Danke für die Antwort.
Das Passwort konnte ich leider noch nicht ändern, da mir die Antwort zu einer meiner drei Sicherheitsfragen entfallen ist und ich meine eigene von vor einigen Jahren stammende Aufzeichnung leider nicht so ganz entschlüsselt bekomme (was ja eigentlich ein Zeichen für die Sichrheit sein sollte >.<) und die Reset-Emails lassen ja wie gesagt auch sich warten.
Was die Key-Logger angeht, so werden da allenfalls Sekundäraccounts zur Anmeldung benutz, wenn überhaupt. Der einzige Lancher den ich sonst nutze ist der ATLauncher und dort ist wie gesagt ein Sekundäraccount eingetragen.


Die Server sind mit ausgesprochener Sicherheit "sicher". Zumindest zu sher hohen Prozent
Haben wir mehrfach mit unterschiedlichen Accounts getestet und sind die Ports abgegangen. Daran kann es eigentlich nicht liegen. Es war aber auch meine erste Vermutung (bzw. eher eine Hoffnung).

Was die Konfiguration angeht, so bin ich mir auch hier äußerst sicher, dass von dieser Seite keine Angriffe möglich sind, was 5 Jahre Servererfahrung und eine ausgibige Testzeit bewerkstelligen sollten.

Außerdem kam es mir seltsam vor, dass dann noch nachvollziehbare Accounts benutzt wurden auf die dann Rechte übertragen wurden, statt einfach eine Cracked-Version jedes Teammitgliedes durchzuschleusen, woraufhin die Schuldigen viel schwieriger nachzuvollziehen gewesen wäre.

Vielen (vielen, vielen, vielen...) Dank für die schnellen Antworten, damit ist trotzdem nochmal eine Liste gegeben, die ich abarbeiten und deren Punkte ich Stück für Stück prüfen kann.

 

[FelixKlauke]

Was die Key-Logger angeht, so werden da allenfalls Sekundäraccounts zur Anmeldung benutz, wenn überhaupt.

Das sagt aber deutlich aus, dass du derartige Clients besitzt, was schon ausreichen kann. Solche Sachen benutzt man nicht einmal in einer VM, wenn man nicht ganz genau weiß, was man tut und wie man so etwas wie einen Keylogger beseitigt.
Saint, THC, Huzuni - Egal wo, irgendwoe findet man immer irgendetwas, Keylogger ist da nur ein Element von vielen.

 

[GerFisch]

Erstmal entschuldigung, ich habe Vanityra missverstanden. Ich nutze keinen Key-Logger. Ich nutze einen Modpack-Launcher, auf dem die Minecraft-Nutzerdaten angegeben werden müssen. Der dementsprechend die Daten irgendwo verschlüsselt abspeichert. Wie gesagt ist dort aber ein Zweitaccount angegeben.

Dennoch gibt es eine "gute" Neuigkeit, obwohl der Netzwerkserver abgeschaltet war, konnten die Täter vor wenigen Minuten auf einen Unterserver connecten.
Also liegt tatsächlich das obige von euch geschilderte Situation vor. Bleibt nur noch die Frage, wie sie die IPs hinter dem Netzwerkserver und deren Ports abgreifen konnten.
(Ich vermute die Dynmaps, wir haben allerdings zur Sicherheit auch die Verbindungsinfos über die einzelnen Serverbereiche im Forum deaktiviert).
Aber nun wissen wir, wo das Problem liegt, oder meinen es zumindest zu wissen und können dagegen vorgehen. Tausend Dank nocheinmal für die schnellen Meldungen.

Nun können wir uns beruhigt, aber natürlich mit beiden Augen offen, unseren Rache-Plänen widmen.

Daher kann auch das Thema geschlossen werden, nochmals: Danke für alle Antworten.

 

[Chrisliebär❤️]

Ich bin auch für die Begründung von @Victini151. Alles andere ist extrem unwahrscheinlich und meine Erfahrung sagt mit, dass jemand, der behauptet seine Server abgesichert zu haben, genau das nicht getan hat. Zu deinem Problem mit der E-Mail: Auch da sagt mir meine Erfahrung, dass du einfach vergessen hast welche E-Mail mit dem Minecraftaccount verknüft ist, oder sie ist Spam gelandet ist (schließen wir mal nicht die Möglichkeit aus, dass Mojang grad Probleme mit den E-Mail Servern hat).

Es gäbe dann noch die Möglichkeit, dass sich durch Probleme mit den Sessionserver jemand über AuthMe oder ähnliches eingeloggt hat. Ich kenn den Server nicht, aber sofern ir irgendeine Art von AuthMe verwendet ist das auch ein sehr wahrscheinlicher angriffspunkt. Ich hab in der Vergangenheit auf fast allen Servern mit eigenem "AuthMe"-Plugin oder anderen Plugins, die mit einer Datenbank arbeiten Angriffsflächen für SQL-Injektions gefunden. Von Zugriff auf die Serverwebsite bis zum absoluten Lahmlegen der Datenbank, dem provozieren von Lags oder auch dem Auslesen von Passwörtern, die unverschlüsselt gespeichert werden, war da alles dabei.

Hab grad den Edit gesehen: Exakt was ich vermutet habe (hat sich meine Ahnung also bestätigt). Eine IP ist NIEMALS geheim! Merkt euch das! NIEMALS! Um Bungeecord korrekt zu betreiben ist eine Firewall Pflicht.

 

[iTz_Proph3t]

SO, den Thread mal bereinigt, wir bleiben ab

-----HIER-----

bitte beim Topic