Achtung Die Sicherheitslücken PHP2Shell und HTTP2Shell werden momentan stark ausgenutzt. Betroffen sind viele Websites und Server. Wir bekommen dazu vermehrt Anfragen. Prüfen Sie zuerst hier, ob Sie betroffen sind. Bin ich betroffen?
Server & Cluster · Forensik
Server gehackt? Wir finden, was sich versteckt.
Gute Angreifer verstecken sich. Der Server zeigt dann nur, was sie zulassen. Wir sehen tiefer hinein und sagen Ihnen: sauber, gehackt oder neu aufsetzen.
Was Sie bekommen
-
Eine klare Antwort
Sauber oder gehackt, mit Begründung. Sie wissen, was als Nächstes zu tun ist.
-
Was noch betroffen ist
Welche Passwörter und Systeme der Angreifer erreicht haben könnte.
-
Spuren für Versicherung und Behörde
Wir sichern zuerst. So bleiben die Beweise verwertbar.
-
Danach sicher
Auf Wunsch setzen wir den Server sauber und gehärtet neu auf.
→
Wo sich Angreifer verstecken
Ein Virenscanner fragt den Server selbst. Ein guter Angreifer fälscht genau diese Antwort.
-
Im Kern des Systems
Ein eingeschleustes Modul im Kernel. Der Server verschweigt dann Programme, Dateien und Verbindungen.
-
In den Messwerkzeugen
Neuere Angriffe nutzen die Werkzeuge, mit denen Entwickler das System beobachten. Von außen sieht alles normal aus.
-
In ausgetauschten Programmen
Ein gefälschtes Anmeldeprogramm schreibt Passwörter mit. Es sieht aus wie das Original.
-
Im Neustart
Versteckte Einträge sorgen dafür, dass der Angreifer nach jedem Neustart wieder da ist.
Ablauf
-
Sichern
Speicher und Festplatten sichern, bevor jemand neu startet.
-
Tief prüfen
Direkt im Systemkern nachsehen und mit dem vergleichen, was der Server anzeigt.
-
Programme prüfen
Jedes Programm mit dem sauberen Original vergleichen.
-
Von außen gegenprüfen
Wir vergleichen, was die Firewall sieht, mit dem, was der Server meldet.
-
Bericht
Ergebnis, Zeitablauf, nächste Schritte.
Akuter Verdacht
Nicht neu starten. Netzwerkkabel ziehen und anrufen.
Ein Neustart löscht oft die einzigen Spuren. Lassen Sie den Server eingeschaltet.
Umfang
Ein Server oder alle. Mit Bericht am Ende.
Abrechnung nach Aufwand. Im Notfall fangen wir sofort an.
Für IT-Verantwortliche
Technische Detailsftrace · kprobes · perf · eBPF · bpftool · bpftrace · auditd · rpm -Va
- Sicherung
- Abbild von Arbeitsspeicher und Datenträgern vor jedem Eingriff, Prüfsummen und Protokoll der Beweiskette.
- Kernel
- Abgleich von /proc/modules, /sys/module und kallsyms, Taint-Flags, Modulsignaturen.
- Tracing
- Prüfung von enabled_functions und registrierten kprobes auf fremde Hooks, Auswertung mit ftrace und perf.
- eBPF
- Inventar geladener Programme und Maps mit bpftool, Suche nach Programmen an Systemaufrufen und Tracepoints.
- Userland
- rpm -Va mit statischen Werkzeugen von sauberem Medium, ld.so.preload, PAM-Module, SUID-Dateien.
- Persistenz
- systemd-Units und Timer, Cron, udev-Regeln, initramfs, autorisierte SSH-Schlüssel.
- Netz
- Abgleich von Firewall- und Flow-Daten mit den Verbindungen, die der Server selbst meldet, Scan von außen.
Weiterlesen
-
PHP2Shell: Was Website-Betreiber jetzt tun müssen
Zwei kritische Lücken in PHP werden seit Oktober 2026 ausgenutzt.
→ -
Gehackt worden? Sofortmaßnahmen für österreichische Unternehmen
Die ersten Stunden entscheiden: Systeme isolieren, Spuren erhalten und den Betrieb kontrolliert stabilisieren.
→ -
KI findet Sicherheitslücken am Fließband: Was das für Ihre Server heißt
Neue KI-Modelle finden Lücken so schnell, wie in einem Club die Korken knallen.
→
FAQ
Häufige Fragen
Reicht ein Virenscanner?
Nein. Er fragt den Server selbst, und genau diese Antwort fälscht ein guter Angreifer. Wir prüfen zusätzlich von innen und von außen.
Sollen wir neu starten?
Nein. Netzwerk trennen, Server eingeschaltet lassen, anrufen.
Prüfen Sie auch Windows?
Diese Analyse ist für Linux. Bei Windows hilft unser IT-Notfall.
Für wen ist das?
Für Unternehmen ab etwa 30 Mitarbeitern und alle, deren Server immer laufen müssen. Mit oder ohne eigene IT-Abteilung.
Kontakt
Kostenloses Erstgespräch
Beschreiben Sie kurz Ihre Situation. Wir unterstützen Sie bei der Einschätzung und beim nächsten Schritt. Antwort werktags innerhalb von 24 Stunden.
Rootkit erkennen und gehackte Linux-Server prüfen in Österreich
vetosec untersucht verdächtige Linux-Server auf LKM-Rootkits, eBPF-Rootkits, ftrace- und kprobe-Hooks, manipulierte Binaries, ld.so.preload, PAM-Backdoors und Persistenz in systemd, Cron und initramfs. Mit Sicherung von Arbeitsspeicher und Datenträgern, Analyse mit ftrace, perf, bpftool und rpm -Va, Zeitlinie und Bericht.
office [at] vetosec [dot] at · vetosec.at/contact/