Hallo, in Matomo sind mir zufällig Zugriffe aufgefallen, die unter einer fremden Domain liefen. Unser kompletter Shop ist 1:1 unter einer fremden Domain erreichbar. Hier Details und ein Lösungsansatz (Formulierungen mittels AI abgerundet, bevor fragen auftauchen ) Was genau ist passiert Die Seite hat unseren Shop gespiegelt. Das heißt: Ruft jemand die fremde Domain auf, holt sich deren Server im Hintergrund unsere echte Seite und zeigt sie dem Besucher unter der fremden Adresse an. Für den Besucher sieht alles aus wie unser Shop – nur in der Adresszeile steht die falsche Domain. Zusätzlich tauscht die Kopie in den Seiten unseren Domainnamen automatisch gegen ihren eigenen aus, damit die Links dort funktionieren. Das ist gleich doppelt schlecht: - Kunden könnten auf der falschen Seite bestellen oder sich einloggen (Phishing / Betrugsgefahr). - Google sieht denselben Inhalt zweimal Warum man das serverseitig nicht erkennen kann Der Trick der Kopie ist, dass ihr Server unsere Seite ganz normal bei uns abholt. Für unseren Shop sieht diese Anfrage genauso aus wie ein normaler Besucher oder wie Google selbst. Wir können am Server also nicht sagen „diese Anfrage ist die Kopie" und den Inhalt verweigern – wir würden sonst auch echte Besucher und Google aussperren. Den Unterschied merkt nur der Browser des Besuchers: Der weiß, welche Domain wirklich in der Adresszeile steht. Lösungsansatz Wir haben ein kleines Stück JavaScript in jede Seite eingebaut (über ein eigenes Modul im Headerbereich). Dieses Script schaut im Browser nach, welche Domain gerade angezeigt wird, und vergleicht sie mit einer Liste erlaubter Domains (unsere eigene Domain und unsere Testumgebung). Steht dort eine fremde Domain, macht das Script drei Dinge: 1. Es blendet den Inhalt sofort aus – noch bevor die Seite sichtbar wird, damit unser Shop dort nicht kurz aufblitzt. 2. Es leitet den Besucher automatisch auf unseren echten Shop weiter. 3. Falls die Weiterleitung nicht klappt, zeigt es stattdessen eine große Warnung „VORSICHT FAKE SHOP" mit Link zum echten Shop und entfernt den restlichen Inhalt. Auf unserer eigenen Domain tut das Script bewusst gar nichts. Dort merkt niemand etwas davon – kein Ausblenden, keine Weiterleitung, keine Warnung. Weil die Kopie unseren Domainnamen überall austauscht, dürfen unsere erlaubten Domains und das Weiterleitungs-Ziel nicht im Klartext im Script stehen – sonst würde die Kopie sie einfach mit-austauschen und alles wäre wirkungslos (die Weiterleitung würde sogar im Kreis auf die Fake-Seite zurücklaufen). Deshalb stehen diese Adressen nicht als lesbarer Text im Code, sondern verschlüsselt. Erst im Browser werden sie wieder in Klartext umgewandelt. Die Kopie findet unseren Domainnamen im Quelltext nicht und lässt ihn in Ruhe. Hat jemand von euch so etwas schon erlebt? Gibt es weitere Ideen, wie man solche Kopien erkennt oder schneller vom Netz bekommt? Beim Hoster und bei Cloudfare haben wir die Fake-Seite bereits gemeldet. Keine Ahnung wie lange das dauert. Derzeit wird jedoch erfolgreich jeder Aufruf der Fake-Seite auf unsere Domain weitergeleitet... (sofern javascript aktiv ist)
Wow mir ist sowas noch nicht bewusst untergekommen, danke für die Info und Erklärung dazu. Erstmal richtig coole Lösung mit dem Zurückleiten. Kannst du konkret sagen, wie dir das aufgefallen ist? Ich kannte Matomo bis gerade noch nicht, wäre sowas auch mit dem normalen Google Analystics ersichtlich um sowas zu erkennen?
Ich mach das Thema nochmal auf, denn wir sind aktuell auch betroffen. Wir haben bereits an mehreren Stellen gemeldet und Gambio ist auch dran. Hierzu nochmals für heute mein ganz großer Dank an Michael, der sich heute sehr gekümmert hat. Da wir einen Cloudshop haben, können wir unseres Wissens keine solchen o. g. Einträge vornehmen. Bislang nutzen wir kein Cloudflare, müssen uns damit aber wohl beschäftigen. Der Klonshop ruft quasi in Echtzeit bei uns geänderte Daten ab, so dass beide Shops immer gleich aussehen - außer die Domain-Endung natürlich. Aufgefallen ist uns das, weil der Klonshop plötzlich in unseren Suchergebnissen mit auftaucht.
Das ist ja beängstigend. So ein Fall wurde vor kurzem auch in der FB Gruppe besprochen. Mit "Suchergebnisse" meinst du die Google Suche?
Ich habe dazu mal eine Frage an die Cloudshop-Nutzer: Nutzt denn jemand von euch Cloudflare vor seinem Cloudshop? Oh ganz viel Cloud Wir haben uns damit noch nie beschäftigt, deshalb wäre ein Austausch vielleicht gar nicht schlecht.
Wäre mit Cloudflare das Problem gelöst oder nur minimiert? Was genau hat @Michael (Gambio) in deinem Shop gemacht?
Von Gambio wird da nichts eingebaut, da muss man sich selbst leider drum kümmern. Deshalb habe ich das mit dem Austausch angeregt.
Es wird wohl auf jeden Fall minimiert. Es gibt eine Free-Version, aber da ich mich für uns da noch nie weiter mit beschäftigt habe, kann ich nicht beurteilen, welche Möglichkeiten es da gibt und was das alles dann für Auswirkungen hat. Michael hat sich das alles einmal genauer angeschaut, nachdem ich heute noch mitgeteilt habe, dass der Shop in Echtzeit Daten abgleicht. Jetzt wurden und werden einige Tests gemacht. Was aber genau alles geprüft wird, wie lange und wie oft, weiß ich nicht. Für mich war wichtig, dass Gambio sich das doch etwas genauer anschaut.
Aber was Michael dann in deinem Shop gemacht? Ist dein Shop dann immer noch auf der anderen Domain gespiegelt? Oder hat er dir nur den Tip für Cloudflare gegeben?
Was sie genau gemacht haben oder immer noch machen, weiß ich nicht. Direkte Einzelheiten wurden mir nicht genannt, nur dass im Team einiges getestet wird. Details würde ich hier auch nicht veröffentlichen. Wenn du möchtest, können wir gern persönlich sprechen. Der Shop ist immer noch auf der anderen Domain, aber Cloudflare, wo der Shop hinterlegt ist, hat nach Meldung des Klons bereits reagiert und diesen wohl eingeschränkt. Die haben da ihren Ablauf, wie da weiter verfahren wird. Es ist auch möglich, dass ich dazu von denen keine weiteren Infos bekomme. Den Tipp, Cloudflare bei uns vorzuschalten, haben wir von ein paar Wochen wegen einem anderen Problem vom Support bekommen. Wobei wir da noch nicht so ein Ausmaß angenommen haben.
Ich habe zwar einen Selfhosted-Shop, aber nach dem SQL Angriff im Sommer habe ich mich dann auch mit Cloudflare beschäftigt bzw. eingesetzt. Seitdem Einsatz mit Free haben die Bedrohungen erheblich nachgelassen und es konnten auch eine große Anzahl an Spionage-Bots neutralisiert werden. Cloudflare ist nach meinem Verständnis für jede Art von Website sinnvoll und sollte auch vor einem Cloudshop funktionieren. Man sollte aber auf jeden Fall vorher Kontakt mit dem Support aufnehmen damit plötzlich Dinge nicht mehr funktionieren. Was absolut für Cloudflare spricht ist auch die Tatsache, das vor Veröffentlichung der PHP-Lücke, Regeln zur Minderung der Angriffsfläche entwickelt und aktiviert wurden, auch für die Free-Nutzer. Wenn auch Gambio inzwischen Cloudflare empfiehlt wäre es doch vielleicht eine gute Idee einen Leitfaden und rudimentäre 4-5 Regelsätze die universell für Gambioshops funktionieren zu erstellen. Jeder Nutzer kann dann zusätzlich, mit Hilfe der integrierten KI, die Regeln verfeineren.
Das fände ich eine gute Idee. Allein da ran zu gehen, haben wir uns bisher nicht getraut, eben weil Cloudshop. Aber ich weiß nicht, wie viel Unterstützung man da vom Support bekommen würde.
Hallo zusammen, ich stelle den Overload gerne kostenfrei zur Verfügung. Bei Interesse bitte PN. Mehr Infos dazu hier: (Link nur für registrierte Nutzer sichtbar.) Schönes Wochenende
Wow, das ist sehr großzügig von dir. Leider haben wir einen Cloudshop und können das damit wohl nicht nutzen. Hast du dazu schon mal mit dem Support gesprochen ob es da in Zusammenarbeit mit dir, Möglichkeiten gibt das für Cloudshops umzusetzen?
Ich weiß jetzt nicht ob die Betroffene auch hier ist und es eventuell besser erklären kann. Aber ich finde das ein sehr wichtiges Thema und mit der Lösung kann Gambio vielleicht etwas anfangen. Da wir im Cloudshop nicht auf die .htaccess zugreifen können und uns dafür auch das nötige Wissen fehlt: Was meint ihr dazu? Die Ausgabe der Website für alle HTTP-Hosts zu unterbinden, die nicht der Original-URL entsprechen: Code: RewriteCond %{HTTP_HOST} !^(www\.)?original-url\.de$ [NC] RewriteRule ^ - [F,L] @Michael (Gambio) @Daniel S. (Gambio)
Die .htaccess-Regel schützt nur, wenn eine fremde Domain direkt auf den eigenen Server zeigt. Ein Proxy-Fake-Shop fragt den Server aber ganz normal unter der echten Domain an und ist für ihn von einem normalen Besucher nicht zu unterscheiden. Die falsche Domain sieht nur der Browser des Kunden...