Suckit - Rootkit Problem
Hallo, ich habe auf meinem Server mittels "chkrootkit" etwas gefunden: *snip* Searching for Suckit rootkit ... Warning: /sbin/init INFECTED *snip* Checking `lkm'... You have 1 process hidden for readdir command You have 1 process hidden for ps command Warning: Possible LKM Trojan installed *snip* Der von ps versteckte Prozess ist PID 17 /sbin/init - das passt also zur Angabe von oben. Ich konnte jedoch in /proc/17 keinen Hinweis auf Suckit finden (z.B. wie in http://www.soohrt.org/stuff/linux/suckit/ beschrieben) Kann es sein, dass sich auch ein anderes Rootkit eingenistet hat ? Wie finde ich das heraus ? Wie kann ich es bekämpfen, ohne meinen Server platt zu machen ? Und vor allem: WIE KANN ICH MICH IN ZUKUNFT VOR SOWAS SCHÜTZEN ? Eine Firewall hilft ja angeblich nicht wirklich. Habe alle c-Compiler rausgeworfen, aber wenn der Angreifer ein vorkompiliertes Kit benutzt ? Fragen über Fragen und bislang keine Antwort... Gruß, Philip
Hallo * Am Samstag Januar 17 2004 19:32 schrieb Link it!development: [Wir verwenden hier unsere Realnamen - http:// www.suse-etikette.de.vu; danke]
Kann es sein, dass sich auch ein anderes Rootkit eingenistet hat ?
Da ich auch schon von dem Problem betroffen war: Ja.
Wie finde ich das heraus ?
Einschlägige Tools verwenden; bevor Du den Server in die Welt entläßt, die entsprechenden Vorkehrungen treffen.
Wie kann ich es bekämpfen, ohne meinen Server platt zu machen ?
Am besten gar nicht: Platt machen (ich weiß, tut weh). Du wirst mit ziemlicher Sicherheit nicht alles finden, wenn der Hacker sein Geschäft versteht. Nimm eine neue Platte und guck, ob Du die alte irgendwie analysieren kannst, um herauszufinden, wie Dein System kompromittiert wurde.
Und vor allem: WIE KANN ICH MICH IN ZUKUNFT VOR SOWAS SCHÜTZEN ?
Ein vernünftiges Sicherheitskonzept aufstellen. Dafür gibt es keine Patentrezepte.
Eine Firewall hilft ja angeblich nicht wirklich.
Eine Firewall ist ein Baustein des Sicherheitskonzepts. Ich würde sie nicht weglassen.
Fragen über Fragen und bislang keine Antwort...
Fahnde mal nach meinem Namen im Listenarchiv, da findest Du doch einige Anmerkungen zur Problematik. Helga -- ## Content Developer OpenOffice.org: lang/DE ## Office-Suite für Linux, Mac, Windows -- http://de.openoffice.org/ ## Werkstatt & Information zu OpenSource -- http://www.eschkitai.de/ ## Etikette, nein Danke? -- http://www.suse-etikette.de.vu/
Hallo Philip, Am Sam, den 17.01.2004 schrieb Link it!development um 19:32:
... Kann es sein, dass sich auch ein anderes Rootkit eingenistet hat ? Wie finde ich das heraus ?
Das kann gut sein. Wenn es Quellen von rootkits im freien Umlauf gibt, dann wird es beinahe unmöglich sein, mit Sicherheit festzustellen, welches Kit Du genau hast, denn Variationen können hier quasi unendlich-fach in Umlauf gebracht werden.
Wie kann ich es bekämpfen, ohne meinen Server platt zu machen ?
Am besten gar nicht. Wenn Du nicht mit Sicherheit sagen kannst, welche Teile Deines Systems betroffen sind, dann wirst Du ihn platt machen müssen.
Und vor allem: WIE KANN ICH MICH IN ZUKUNFT VOR SOWAS SCHÜTZEN ?
Durch "File Integrity Checks"! Du solltest Dir wirklich mal Tripwire, AIDE oder Claymore ansehen. Ohne geht es nicht! chkrootkit solltest Du am besten auf einer gemounteten CD mit allen dazugehörigen binären Programme, die es braucht, benutzen. Siehe dazu die chkrootkit FAQ. Fertige einen cronjob an und lass chkrootkit mindestens zweimal am Tag laufen und Dir die Ergebnisse bei Funden zuschicken. Schaue auch hier in die FAQ.
Eine Firewall hilft ja angeblich nicht wirklich. Habe alle c-Compiler rausgeworfen, aber wenn der Angreifer ein vorkompiliertes Kit benutzt ?
Wichtiger wäre es jetzt mal herauszufinden, welcher Deiner Dienste oder eventuell sogar der Kernel die Schwachstelle aufweisen, die dazu geführt hat, dass Du gehackt wurdest. Ohne file integrity checks wird das aber beinahe unmöglich sein.
Fragen über Fragen und bislang keine Antwort...
Besser vorsorgen für die Zukunft. Wenn Deine Maschine viele Dienste bereitstellt, musst Du sie entsprechend absichern. Das hier solltest Du Dir in jedem Fall mal ansehen: http://www.scrye.com/~kevin/lsh/Security-HOWTO.html Mit Tripwire oder AIDE hättest Du jetzt den halben Ärger... Grüße, Tobias
Hallo, On 17-Jan-2004 Tobias Weisserth wrote:
Am Sam, den 17.01.2004 schrieb Link it!development um 19:32:
[...] Und vor allem: WIE KANN ICH MICH IN ZUKUNFT VOR SOWAS SCHÃTZEN ?
Durch "File Integrity Checks"! Du solltest Dir wirklich mal Tripwire,
Das ist aber kein Schutz gegen zukuenftige Infektionen, sondern hilft nur, Infektionen zu entdecken. Okay, das ist natuerlich auch nicht ganz unwichtig, beantwortet aber trotzdem nicht die Frage.
chkrootkit solltest Du am besten auf einer gemounteten CD mit allen dazugehörigen binären Programme, die es braucht, benutzen. Siehe
Okay, aber...
dazu die chkrootkit FAQ. Fertige einen cronjob an und lass chkrootkit mindestens zweimal am Tag laufen und Dir die Ergebnisse bei Funden
...manchmal brauche ich das CDROM-Lw auch noch fuer andere Dinge. Hier muss man wohl einen Kompromiss suchen, also evtl. regelmaessig per cronjob und dazwischen immer wieder mal manuell von CDROM.
Besser vorsorgen für die Zukunft. Wenn Deine Maschine viele Dienste bereitstellt, musst Du sie entsprechend absichern.
Das hier solltest Du Dir in jedem Fall mal ansehen:
Zum Einstieg wirklich gut, weil es auf moegliche Schwachpunkte hinweist. Doch wie sichert man seinen Rechner dann ganz praktisch ab? Auf welche SUID- oder SGID-Permissions kann und sollte man tatsaechlich verzichten, welche koennen zwar stoerende, aber nicht wirklich gefaehrliche Eingriffe erleichtern? Wenn jemand meinen Rechner einfach per shutdown herunterfahren kann, ist das fuer mich zwar laestig, aber ich kann ihn ja wieder neu booten. Aber wie sieht es mit passwd, sudo oder suexec aus, um nur mal drei Beispiele zu nennen? Ich will jetzt gar nicht auf diese Fragen konkrete Antworten haben, sondern einfach nur eine Problematik aufzeigen, die eine Umsetzung allgemeiner Sicherheitsempfehlungen in konkrete Handlungen oft nahezu unmeoglich macht. Beste Gruesse, Heinz. -- http://www.pahlke-online.de/reisenews/ http://www.Pahlke-KunstWebDesign.de/
Hallo Heinz, Am Sonntag Januar 18 2004 11:29 schrieb Heinz W. Pahlke:
Ich will jetzt gar nicht auf diese Fragen konkrete Antworten haben, sondern einfach nur eine Problematik aufzeigen, die eine Umsetzung allgemeiner Sicherheitsempfehlungen in konkrete Handlungen oft nahezu unmeoglich macht.
Hier möchte ich das Buch 'Das Firewall-Buch' von Wolfgang Barth (SuSE-Press) empfehlen. Es gibt einem auch ganz praktische Handlungsanweisungen, _wie_ man sein System absichert. Das ist zwar nur _ein_ Level, vermittelt einem jedoch eine gute Vorstellung, wo man anfangen kann. Ich persönlich habe es ziemlich lang ohne Firewall ausgehalten, hatte aber dafür die Server, die ich meinte haben zu müssen, abgesichert. Also Standardpasswort weg und/oder eine dementsprechende Konfiguration. Gelegentlich habe ich dann in die Logs geguckt und gesehen, daß diese Maßnahme ihre Wirksamkeit hatten. Die SuSEfirewall2 vervollständigt das Szenario inzwischen. Ansonsten mußt Du wirklich für Dich und Deine Maschine und deren Einsatzzweck festlegen, was Du brauchst und danach Deine Sicherungsstrategie wählen. Leider findet man immer wieder etwas, das man verbessern kann. Helga -- ## Content Developer OpenOffice.org: lang/DE ## Office-Suite für Linux, Mac, Windows -- http://de.openoffice.org/ ## Werkstatt & Information zu OpenSource -- http://www.eschkitai.de/ ## Etikette, nein Danke? -- http://www.suse-etikette.de.vu/
Tag zusammen, also mein Problem ist folgendes: Ich habe den Server hinter einem Router liegen. Auf diesem werden bis auf Port 22, 80, 25, 21, 443 und 10000 alle rausgefiltert. Auf dem Server selbst (Suse 8.2) liegen alle nur erdenklichen Sicherheitsupdates, zudem noch eine Firewall, bei der dann die Ports 22, 10000 und 21 gesperrt werden. Diese öffne ich nur via SSH (v2), wenn ich sie unbedingt brauche. Außerdem kommt chkrootkit zum Einsatz, ich habe sudo und weitere derartige Gefahren ausgeschlossen. Jeden Tag gibt mir logdigest einen Statusbericht und informiert mich, was auf dem System los ist. Und trotzdem hat mich ein Rootkit erwischt !! Ich habe auch schon umfangreiche Literatur zum Thema Linux-Sicherheit gelesen, unter anderem "Linux Hacker's Guide" von einem Badboy, der zum Goodboy wurde... Bin aber mit meinem Latein allmählich am Ende. Ich dachte, dass Sicherheitspdates, Firewall, Router mit Portblocking, automatisch generierte Passwörter etc. eigentlich für einen "normalen" Webserver genug sind. Falsch gedacht. Helga, vielleicht kannst Du in der Tat mal etwas konkreter werden. Philip
Am Sonntag Januar 18 2004 11:29 schrieb Heinz W. Pahlke:
Ich will jetzt gar nicht auf diese Fragen konkrete Antworten haben, sondern einfach nur eine Problematik aufzeigen, die eine Umsetzung allgemeiner Sicherheitsempfehlungen in konkrete Handlungen oft nahezu unmeoglich macht.
Hier möchte ich das Buch 'Das Firewall-Buch' von Wolfgang Barth (SuSE-Press) empfehlen. Es gibt einem auch ganz praktische Handlungsanweisungen, _wie_ man sein System absichert. Das ist zwar nur _ein_ Level, vermittelt einem jedoch eine gute Vorstellung, wo man anfangen kann.
Ich persönlich habe es ziemlich lang ohne Firewall ausgehalten, hatte aber dafür die Server, die ich meinte haben zu müssen, abgesichert. Also Standardpasswort weg und/oder eine dementsprechende Konfiguration. Gelegentlich habe ich dann in die Logs geguckt und gesehen, daß diese Maßnahme ihre Wirksamkeit hatten. Die SuSEfirewall2 vervollständigt das Szenario inzwischen.
Ansonsten mußt Du wirklich für Dich und Deine Maschine und deren Einsatzzweck festlegen, was Du brauchst und danach Deine Sicherungsstrategie wählen. Leider findet man immer wieder etwas, das man verbessern kann.
Hallo Philip, Am Sonntag Januar 18 2004 12:52 schrieb Philip Link:
Ich habe auch schon umfangreiche Literatur zum Thema Linux-Sicherheit gelesen, unter anderem "Linux Hacker's Guide" von einem Badboy, der zum Goodboy wurde...
Lesen allein genügt leider nicht. Ich spreche aus eigener Erfahrung.
Bin aber mit meinem Latein allmählich am Ende. Ich dachte, dass Sicherheitspdates, Firewall, Router mit Portblocking, automatisch generierte Passwörter etc. eigentlich für einen "normalen" Webserver genug sind. Falsch gedacht.
Helga, vielleicht kannst Du in der Tat mal etwas konkreter werden.
Nicht, ohne Deine Maschine von innen zu sehen. Dann würde mir _vielleicht_ etwas auffallen, das Du übersehen hast. Da ich aber auf diesem Gebiet auch Anfängerin bin, bezweifle ich, ob mir etwas auffallen würde. Hast Du keinen Kollegen, der Dir hier helfen kann? Sicherheitslektüre empfiehlt ja externe Audits. Ansonsten hilft nur das Sicherheitskonzept und ein sorgfältiges Aufsetzen Deines Servers. Hundertprozentige Sicherheit wirst Du damit allerdings auch nicht erreichen. Die gibt es nicht. Helga -- ## Content Developer OpenOffice.org: lang/DE ## Office-Suite für Linux, Mac, Windows -- http://de.openoffice.org/ ## Werkstatt & Information zu OpenSource -- http://www.eschkitai.de/ ## Offene Jobs -- http://www.eschkitai.de/openoffice/jobs.html
Philip Link schrieb:
also mein Problem ist folgendes: Ich habe den Server hinter einem Router liegen. Auf diesem werden bis auf Port 22, 80, 25, 21, 443 und 10000 alle rausgefiltert. Auf dem Server selbst (Suse 8.2) liegen alle nur erdenklichen Sicherheitsupdates, zudem noch eine Firewall, bei der dann die Ports 22, 10000 und 21 gesperrt werden. Diese öffne ich nur via SSH (v2), wenn ich sie unbedingt brauche. [...]
Naja, der Computer bietet Dienste im Internet an. Das ist prinzipiell unsicher. Die üblichen Verdächtigen sind auch fast alle versammelt. Es fehlt eigentlich nur noch Bind (und Sendmail statt Postfix?). Auch wenn ftp, ssh und Webmin nur temporär geöffnet werden, bilden sie mögliche Angriffspunkte. Webmin hat IMHO auf einem solchen Server gar nichts zu suchen. Sicherheitsupdates sind eine gute Sache. Was aber, wenn Dich der Angreifer erwischt, bevor das Update installiert ist. Oder er nutzt eine Lücke aus, die noch gar nicht öffentlich bekannt ist. Was könnte man verbessern? Ein paar der üblichen Maßnahmen sind: Die Verbindung zum Internet über einen einzigen Computer, der als dedizierte Firewall fungiert, einrichten. Wenn möglich, dazu ein weniger anfälliges Betriebssystem, z.B. FreeBSD, verwenden. Die Firewall regelmäßig von außen scannen. Eine DMZ einrichten und Computer, die Dienste im Internet anbieten, dort laufen lassen. Um Einbrüche möglichst früh erkennen zu können, Tools wie Tripwire verwenden (dessen Datenbank auf nicht überschreibbaren Medien sichern). Events auf einem dedizierten Server loggen. Honeypots aufstellen. Regelmäßig Backups anlegen. Strategien für den worst case ausarbeiten. Mitdenken. Zurück schlagen. ... -- Viele Grüße, Alex P.S.: Die Liste reagiert machmal etwas pikiert auf falsch begonnene Mail-Subjects (Re[2]).
Hallo Philip, Am So, den 18.01.2004 schrieb Philip Link um 12:52: ...
Helga, vielleicht kannst Du in der Tat mal etwas konkreter werden.
Dir fehlt ein System Änderungen am System nachvollziehen zu können. Ist das System erst mal gehackt, dann sind die Log-Dateien nichts mehr wert. Nur, wenn Du zusätzlich Tools wie Tripwire, Claymore oder AIDE einsetzt und pflegst, dann taugt das was. Auch chkrootkit ist im Falle eines Hack nicht mehr vertrauenswürdig, da es binaries vom System verwendet. Wenn Du chkrootkit nicht mitsamt der benötigten binaries von einem physisch schreibgeschütztem Medium startest, dann ist chkrootkit wertlos. Außerdem haben Standard-Installationen meistens den Haken, dass Dateirechte großzügig gesetzt sind. Das muss man nachbessern. Das Dateisystem auf mehrere Partitionen zu verteilen und dann beispielsweise /tmp und /home so mounten, dass von diesen Systemen nichts gestartet werden darf, ist auch sinnvoll. Werfe mal einen Blick in das Linux Security How-To. Du findest es an verschiedenen Stellen mit google. Grüße, Tobias
Hallo Heinz, Am So, den 18.01.2004 schrieb Heinz W. Pahlke um 11:29:
Durch "File Integrity Checks"! Du solltest Dir wirklich mal Tripwire,
Das ist aber kein Schutz gegen zukuenftige Infektionen, sondern hilft nur, Infektionen zu entdecken.
Naja, die Frage war ja, wie er sich den Ärger das nächste Mal ersparen kann. Er will ja nicht neuinstallieren. Das wird aber nur machbar sein, wenn er genau weiß, welche Änderungen es gegeben hat. Klar, gegen einen Einbruch schützt Tripwire auch nicht. Aber es schützt vor den Folgen, wenn man es richtig einsetzt.
Okay, das ist natuerlich auch nicht ganz unwichtig, beantwortet aber trotzdem nicht die Frage.
Naja, zum Teil. MIT Tripwire wüsste er jetzt, was auf seinem Rechner passiert ist und er müsste nicht hier Fragen stellen, die jeder gesunde Menschenverstand beantworten kann (Neuinstallation!!!).
chkrootkit solltest Du am besten auf einer gemounteten CD mit allen dazugehörigen binären Programme, die es braucht, benutzen. Siehe
Okay, aber...
dazu die chkrootkit FAQ. Fertige einen cronjob an und lass chkrootkit mindestens zweimal am Tag laufen und Dir die Ergebnisse bei Funden
...manchmal brauche ich das CDROM-Lw auch noch fuer andere Dinge.
Auf einem Server? Wenn Du Dienste anbietest und Türen offen hast und zudem lokale Benutzer auf Deinem System (Mail, Datenbank, SSH, FTP...) unterwegs sind, DANN kommst Du um so etwas nicht herum.
Hier muss man wohl einen Kompromiss suchen, also evtl. regelmaessig per cronjob und dazwischen immer wieder mal manuell von CDROM.
Wenn man sich nicht den "Luxus" eines zweiten CD-ROM Laufwerks in einem Gerät leisten kann, das nach außen Dienste anbietet ;-) Sooo teuer ist ein Laufwerk heute nicht mehr.
Besser vorsorgen für die Zukunft. Wenn Deine Maschine viele Dienste bereitstellt, musst Du sie entsprechend absichern.
Das hier solltest Du Dir in jedem Fall mal ansehen:
Zum Einstieg wirklich gut, weil es auf moegliche Schwachpunkte hinweist. Doch wie sichert man seinen Rechner dann ganz praktisch ab?
Keine Dienste anbieten und keine lokalen Benutzer erlauben. Kabel ziehen. :-)
Auf welche SUID- oder SGID-Permissions kann und sollte man tatsaechlich verzichten, welche koennen zwar stoerende, aber nicht wirklich gefaehrliche Eingriffe erleichtern?
Lokale Benutzer sollten auf allen Partitionen, auf denen sie Schreibrechte haben, keine Möglichkeit haben, Programme zu starten. Ebenso sollte man /tmp eine eigene Partition gönnen und diese ohne die Möglichkeit mounten, Programme zu starten. Für alle anderen Partitionen dann zusätzlich ein Nullquota einführen für lokale Benutzer.
Wenn jemand meinen Rechner einfach per shutdown herunterfahren kann, ist das fuer mich zwar laestig, aber ich kann ihn ja wieder neu booten. Aber wie sieht es mit passwd, sudo oder suexec aus, um nur mal drei Beispiele zu nennen?
sudo und su sicherst Du ab, indem Du nur Benutzern der Gruppe wheel erlaubst diese Befehle zu nutzen. Das ist das Minimum an nötiger Sicherheit. Benutzer, die lange am System angemeldet sind und mit deren Berechtigung dann eventuell Prozesse über mögliche injections/buffer overflows gestartet werden könnten, sollten daher NICHT in der wheel Gruppe stehen (zumindestens nicht für Maschinen mit Diensten nach außen). Wenn Dich jemand aussperrt, dann hast Du keine andere Wahl als den Stecker zu ziehen. Bei Abwesenheit von Tripwire & co erfolgt eine Neuinstallation. Bei Anwesenheit von Tripwire kannst Du die Änderungen rückgängig machen (Booten von Knoppix & co., chroot Umgebung starten, binaries wiederherstellen usw.).
Ich will jetzt gar nicht auf diese Fragen konkrete Antworten haben, sondern einfach nur eine Problematik aufzeigen, die eine Umsetzung allgemeiner Sicherheitsempfehlungen in konkrete Handlungen oft nahezu unmeoglich macht.
Nein. Gute Planung ist alles. Der Irrglaube hier in der Liste, ein Desktopsystem mit eventuell mehreren Benutzern gleichzeitig sicher als Server nutzen zu können ("Linux ist sicher!" und "Ich habe ja die SuSEfirewall2!") und Dienste nach außen anzubieten, ist ohne entsprechende Planungen einfach irrsinnig. Grüße, Tobias
Moin, Am Sa, den 17.01.2004 schrieb Link it!development um 19:32:
ich habe auf meinem Server mittels "chkrootkit" etwas gefunden:
...was nciht unbedingt was heissen muss!
Searching for Suckit rootkit ... Warning: /sbin/init INFECTED
Dazu kann ich nichts sagen.
Checking `lkm'... You have 1 process hidden for readdir command You have 1 process hidden for ps command Warning: Possible LKM Trojan installed
...das habe ich in letzter Zeit so oft in der Debian-Mailingliste gelesen, daß es schon fast eine FAQ ist: Fehlalarm in der letzten Version von chkrootkit, Debian hat (gestern?) eine neue Version rausgegeben. Das soll jetzt natürlich nicht bedeuten, daß du ihn dir nicht eingefangen haben kannst!
Und vor allem: WIE KANN ICH MICH IN ZUKUNFT VOR SOWAS SCHÜTZEN ?
Windows verwenden, darauf laufen die Linux-rootkits nicht. :-)) Ne, im Ernst: Guck erstmal nach, ob du echt was eingefangen hast. Ich habe chkrootkit gerade heute morgen bei mir mal wieder rüberlaufen lassen, und es hat sofort meinen Crypto-Filesystem-daemon als entsetzlich gräßlichen Todesviruswurmexploit "identifiziert". Ich bin schon am überlegen, ob ich chkrootkit nicht ganz rausschmeisse, das macht hier mehr Alarm als los ist. Gruß, Ratti -- -o) fontlinge | Font management for Linux | Schriftenverwaltung in Linux /\\ http://freshmeat.net/projects/fontlinge/ _\_V http://www.gesindel.de https://sourceforge.net/projects/fontlinge/
ich habe auf meinem Server mittels "chkrootkit" etwas gefunden:
...was nciht unbedingt was heissen muss!
Da ich auf dem ersten Server (Web, Mail, Firewall) nach dem Angriff keine root-Rechte mehr hatte, geh ich mal davon aus, dass an der Meldung von chkrootkit was dran war :-(( Jetzt ist aber der Fileserver dahinter genauso betroffen. Aber dort habe ich bislang noch root-Rechte. Und das soll auch so bleiben !
Searching for Suckit rootkit ... Warning: /sbin/init INFECTED
Dazu kann ich nichts sagen.
Checking `lkm'... You have 1 process hidden for readdir command You have 1 process hidden for ps command Warning: Possible LKM Trojan installed
...das habe ich in letzter Zeit so oft in der Debian-Mailingliste gelesen, daß es schon fast eine FAQ ist: Fehlalarm in der letzten Version von chkrootkit, Debian hat (gestern?) eine neue Version rausgegeben.
Werde ich mal prüfen...
Das soll jetzt natürlich nicht bedeuten, daß du ihn dir nicht eingefangen haben kannst!
Und vor allem: WIE KANN ICH MICH IN ZUKUNFT VOR SOWAS SCHÜTZEN ?
Windows verwenden, darauf laufen die Linux-rootkits nicht. :-))
Genau. Windows 3.11 Workstation... Und an all die anderen: die Tipps mit den IDS mittels Checksumme werde ich mir mal ansehen. Und eine Firewall ist NATÜRLICH installiert gewesen. Wollte damit nur sagen, dass diese nichts hilft, da zumindest Suckit irgendeinen offenen Port nutzt. Naja, werde jetzt erst mal die /sbin/init wieder herstellen. Und dann mal weitersehen... Gruß, Philip
participants (7)
-
Alexander Veit -
Heinz W. Pahlke -
Helga Fischer -
Joerg Rossdeutscher -
Link it!development -
Philip Link
-
Tobias Weisserth