Virenbefall und log files

Reto Bieri

Hallo

Wir hatten einen Virenbefall auf der Seite. Nun ist die Seite wieder aktiv: hosteltromen.com

Nach der Neuinstallation habe ich den Virenscanner von cPanel benutzt und er lieferte mir zwei Resultate. Beides log files aus dem Verzeichnis logs von WP. Die meldung lautete:

logs / hosteltromen.com-Ago-2017.gz YARA.eval_post.UNOFFICIAL

Ich hab dann den Support gefragt und dieser hat geschrieben, es seien bloss Sicherheitskopien. Doch das ist doch nicht wahr?

Ich kenne mich nicht aus mit log files, aber ich habe es geoeffnet mit notepad++. Offenbar sind darin alle Zugriffe auf die Seite vermerkt, mit IP Adresse?

Ich habe dann gesehen, dass sehr viele dieser Zeilen im log file auf wp-login verweisen. Hier ein Beispiel:

91.200.12.28 - - [02/Aug/2017:12:26:17 -0300] "POST /wp-login.php HTTP/1.1" 200 3611 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:18.0) Gecko/20100101 Firefox/18.0"

Was bedeutet das? Wollte jemand in WP einloggen? Oder der hier:

198.204.235.27 - - [07/Aug/2017:14:14:35 -0300] "POST //xmlrpc.php HTTP/1.1" 200 415 "http://www.google.com.hk" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/42.0.2311.90 Safari/537.36"

Was bedeutet POST? Die Seite ist ganz einfach, man kann nichts posten, keine Kommentare, keine Formulare. Dieser Zugriff erfolgte sehr oft hintereinander, mit derselben IP, vielleicht 50 x!

Der Virenbefall wurde vom Hoster wiroos.com am 8.8.2017 mit Supportticket gemeldet. Ich moechte herausfinden, wie der Virus auf die Seite kam und was fuer ein Virus es war. Der Support sagt, er weiss es nicht. Die Seite wurde dann am 8.8.2017 gesperrt mit einem 403 und alle Dateien aus dem public_html in ein anderes Verzeichnis verschoben.

Das ganz log file ist hier: http://portalpb.bplaced.net/logfile/

Kann mir jemand damit helfen?

Gruss
Patrick

Werbepost

Hallo!

Wenn du gerade an deiner Website arbeitest oder dein aktuelles Hosting überdenkst: Wir betreiben mit NetzLiving eine Hosting-Plattform, die speziell auf Performance, Sicherheit und einfache Verwaltung ausgelegt ist.

✔️ Schnelle Ladezeiten (optimiert für WordPress & Co.)
✔️ Deutsche Server & DSGVO-konform
✔️ Persönlicher Support (kein 0815-Ticket-System)

Mehr erfahren

SirEctor

Die 2 Einträge sagen aus, dass die Seiten aufgerufen wurden, nicht mehr und nicht weniger. Der HTTP-Response von 200, sollte mMn bedeuten, dass ein Login nicht erfolgreich war und der Besucher auf der Login-Seite geblieben ist. Ich könnte dir nur anhand dieser Zeilen nicht helfen. Dazu braucht man einiges mehr.

b3317133

Das ist kein Virenbefall sondern einfach einer von tausenden von "Bots", also automatische Programme, die überall auf der Welt bei WordPress-Installationen versuchen, Logins/Passwörter zu erraten.

Die Dateien [FONT=courier new]wp-login.php[/FONT] und [FONT=courier new]xmlrpc.php[/FONT] sind Bestandteile einer ganz normalen WordPress Installation.

Ein Verzeichnis [FONT=courier new]logs[/FONT] gibt es in WordPress nicht. Das Verzeichnis dürfte vom Hoster dort angelegt bzw. verlinkt sein, damit Du Zugriff auf die normalen Server-Logfiles hast.

Reto Bieri

Ja, das Verzeichnis logs ist auf der selben Ebene wie public_html. Wir hatten viele Zugriffe von IP Adressen, die ganz schnell hintereinander Seiten aufgerufen haben. Alle paar Sekunden. Ich poste hier noch das Support Ticket vom 8.August. Vielleicht koennt ihr was zu den Dateien sagen, die befallen waren?

[COLOR=#32373C][FONT=&quot]
[/FONT][/COLOR]

Reto Bieri

Support Ticket

Edit von maxe: Bitte nicht alles als Text posten, habe es jetzt mal als Zitat gekennzeichnet.

Zitat

[COLOR=#32373C][FONT=&quot]Su sitio hosteltromen.com fue suspendido preventivamente debido a que estaba realizando envíos de SPAM.[/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]Los envíos estaban siendo realizados desde un archivo que creemos fue subido de forma no autorizada a su sitio web aprovechando una vulnerabilidad de seguridad.[/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]Hemos renombrado el directorio public_html por public_html_verificar para que no sea necesario suspender la cuenta completamente, pudiendo así utilizar el correo electrónico, y además tener la posibilidad de acceder a los archivos de su sitio web para resolver los problemas de seguridad.[/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]—-
IMPORTANTE: Tenga en cuenta que en WIROOS somos muy estrictos en lo relacionado con SPAM y seguridad. Su servicio podría ser cancelado de manera definitiva en caso de que no sea cuidadoso con la seguridad de su servicio ya que Ud. es responsable por el mal uso del mismo.[/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]Por favor, no elimine simplemente los archivos que fueron subidos a su sitio, preocúpese por resolver el problema que permitió que esos archivos se suban, que es el problema de fondo.[/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]No le reste importancia a este asunto. Considere las pérdidas económicas que sufriría su negocio si su servicio es suspendido o cancelado.
—-
—-
Colaboramos en la resolución de este problema compartiéndole el siguiente resultado de nuestro scan de virus y exploits:[/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/Marvins.php’
# Known exploit = [Fingerprint Match] [PHP Shell Exploit][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/Mkutps.php’
# Known exploit = [Fingerprint Match] [PHP Shell Exploit][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/af1d89.php’
# Known exploit = [Fingerprint Match] [PHP Obfuscated Exploit [P1070]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/eaiubnv3.php’
# (decoded file [advanced decoder: 14 (depth: 1)]) Known exploit = [Fingerprint Match] [PHP Obfuscated Exploit [P1070]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/gtde.php’
# Known exploit = [Fingerprint Match] [PHP POST Exploit [P1274]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/index.php’
# Known exploit = [Fingerprint Match] [PHP Injection Attack [P1261]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/phqmv.php’
# Known exploit = [Fingerprint Match] [PHP POST Exploit [P1274]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-config.php’
# Known exploit = [Fingerprint Match] [PHP Injection Attack [P1261]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-pols.php’
# Known exploit = [Fingerprint Match] [PHP POST Exploit [P1274]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/cgi-bin/favicon_ea47a8.ico’
# Known exploit = [Fingerprint Match] [PHP Obfuscation Exploit [P0803]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-admin/css/colors/midnight/fuxemngl.php’
# Known exploit = [Fingerprint Match] [PHP COOKIE Exploit [P1037]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-content/plugins/nextgen-gallery/products/photocrati_nextgen/modules/nextgen_addgallery_page/static/plupload-2.1.1/Moxie.xap’
# (compressed file: Moxie.dll [depth: 1]) MS Windows Binary/Executable [application/x-winexec][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-content/plugins/nextgen-gallery/products/photocrati_nextgen/modules/nextgen_admin/templates/field_generator/nextgen_settings_field_width_and_unit.php’
# Known exploit = [Fingerprint Match] [PHP POST Exploit [P1274]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-content/plugins/nextgen-gallery/products/photocrati_nextgen/modules/nextgen_basic_tagcloud/Mrcrtq.php’
# Known exploit = [Fingerprint Match] [PHP Shell Exploit][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-content/plugins/nextgen-gallery/products/photocrati_nextgen/modules/nextgen_gallery_display/static/fonts/Dcqdm.php’
# (decoded file [advanced decoder: 14 (depth: 1)]) Known exploit = [Fingerprint Match] [PHP Shell Exploit [P0324]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-content/plugins/qtranslate-x/comay.php’
# Known exploit = [Fingerprint Match] [PHP Exploit][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-content/plugins/qtranslate-x/qutofxpe.php’
# Known exploit = [Fingerprint Match] [PHP GLOBALS Exploit [P0923]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-content/plugins/so-css/lib/codemirror/addon/fold/Dcqdm.php’
# (decoded file [advanced decoder: 14 (depth: 1)]) Known exploit = [Fingerprint Match] [PHP Shell Exploit [P0324]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-content/plugins/wp-google-maps/base/umezdvto.php’
# Known exploit = [Fingerprint Match] [PHP GLOBALS Exploit [P0923]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-content/themes/sketch/404.php’
# Known exploit = [Fingerprint Match] [PHP Obfuscation Exploit [P0877]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-content/themes/sketch/addon.php’
# Known exploit = [Fingerprint Match] [PHP Obfuscation Exploit [P0877]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-content/themes/sketch/header.php’
# (decoded file [advanced decoder: 14 (depth: 1)]) Known exploit = [Fingerprint Match] [PHP WordPress Exploit [P0970]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-content/themes/twentyfifteen/author-bio.php’
# Known exploit = [Fingerprint Match] [PHP POST Exploit [P0892]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-content/themes/twentyfifteen/extension.php’
# Known exploit = [Fingerprint Match] [PHP Obfuscation Exploit [P1082]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-content/themes/twentyfifteen/message.php’
# Known exploit = [Fingerprint Match] [PHP Obfuscation Exploit [P1082]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-content/themes/twentyfifteen/messages.php’
# Known exploit = [Fingerprint Match] [PHP Obfuscation Exploit [P0877]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-content/themes/twentyfifteen/single.php’
# Known exploit = [Fingerprint Match] [PHP Obfuscation Exploit [P0877]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-content/themes/twentysixteen/404.php’
# Known exploit = [Fingerprint Match] [PHP Obfuscation Exploit [P0877]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-content/themes/twentysixteen/js/Mrcrtq.php’
# Known exploit = [Fingerprint Match] [PHP Shell Exploit][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-content/uploads/extension.php’
# Known exploit = [Fingerprint Match] [PHP Obfuscation Exploit [P1082]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-content/uploads/message.php’
# Known exploit = [Fingerprint Match] [PHP Obfuscation Exploit [P1082]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-includes/Requests/IDNAEncoder.php’
# Known exploit = [Fingerprint Match] [PHP Injection Exploit [P0997]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-includes/Requests/Exception/HTTP/401.php’
# Known exploit = [Fingerprint Match] [PHP Injection Exploit [P0997]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-includes/Requests/Exception/HTTP/417.php’
# Known exploit = [Fingerprint Match] [PHP POST Exploit [P1274]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-includes/css/modules.php’
# Known exploit = [Fingerprint Match] [PHP Exploit][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-includes/js/jcrop/zcpghkcy.php’
# Known exploit = [Fingerprint Match] [PHP GLOBALS Exploit [P0923]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-includes/js/swfupload/gfaahgsu.php’
# Known exploit = [Fingerprint Match] [PHP GLOBALS Exploit [P0923]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-includes/random_compat/byte_safe_strings.php’
# Known exploit = [Fingerprint Match] [PHP Injection Exploit [P0997]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-includes/random_compat/random_bytes_libsodium.php’
# Known exploit = [Fingerprint Match] [PHP Injection Exploit [P0997]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-includes/rest-api/class-wp-rest-response.php’
# Known exploit = [Fingerprint Match] [PHP Injection Exploit [P0997]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-snapshots/index.php’
# Known exploit = [Fingerprint Match] [PHP Injection Attack [P1261]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]—-[/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]Por favor háganos saber cuando el problema de seguridad fue resuelto para reactivar su sitio web.[/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]Atte.,
El equipo de WIROOS[/FONT][/COLOR]

Alles anzeigen

r23

Zitat von Reto Bieri

Vielleicht koennt ihr was zu den Dateien sagen, die befallen waren?

warum löscht du nicht einfach alles und installiest dir aus der Datensicherung eine saubere Version und beseitigst eben die Sicherheitslücke. Wir können aber gerne die Liste der Dateien durchgehen.

Mkutps.php ist nicht teil von WordPress und sollte gelöscht werden.

Nächste Datei ist?

Reto Bieri

Kein Problem, die Seite ist bereits wieder neu installiert. Alle infizierten Dateien sind geloescht. Es geht mir nur darum moeglichst viel ueber die Atacke herauszufinden.

Ich hab zudem jetzt das hier installiert: https://es.wordpress.org/plugins/wordfence/

Das scheint ziemlich stark zu sein und ich hoffe, es gibt keine neuen Viren mehr auf der Seite.

Hille

So ein Sicherheitsplugin ist kein Hexenwerk und birgt das eventuelle Risiko einer neuen Sicherheitslücke. Viel sinnvoller wäre es, sich an gewisse Grundregeln zu halten [emoji6]

Reto Bieri

Oh, das tool arbeitet sehr gut. Es meldet mir alle logins und alle IPs. Und schliesslich ist es kriminell, eine Seite zu hacken oder spam zu deponieren! Die Ausrede, ein Passwort sei nicht stark genug gewesen, hilft da nichts. Zudem kann man ja Monitorprogramme auf Computer installieren, um Passwôrter zu klauen oder auch sonst mitzulesen, was jemand schreibt.

Wenn jemand in deine Wohnung einbricht und die Polizei würde sagen, du hättes halt ein besseres Schloss anbringen sollen, was würdest du dann denken?

Aber die Seite scheint wieder in Ordung zu sein. Das logfile gibt Auskunft, über das was passiert ist und durch wen. Und die Liste der befallenen Dateien zeigt den Schaden. Eigentlich genug, um die Kriminellen an den Pranger zu stellen :-). Und darum ging es mir!

Gruss
Patrick Reto Bieri

mensmaximus

Zitat von Reto Bieri

Und schliesslich ist es kriminell, eine Seite zu hacken oder spam zu deponieren! [...] Wenn jemand in deine Wohnung einbricht und die Polizei würde sagen, du hättes halt ein besseres Schloss anbringen sollen, was würdest du dann denken?

Das stimmt nicht ganz. Im Gegensatz zum Einbruch in ein Haus gibt es den Tatbestand des Einbruchs auf einem Server noch gar nicht so lange. Wenn man die Haustüre nicht absperrt oder gar offen stehen lässt ist dürfen Dritte die Wohnung zwar immer noch nicht betreten, wenn aber etwas geklaut wird zahlt die Versicherung nicht. Im IT Recht geht man noch ein Stück weiter uns stellt das unzureichende Absichern eines Server unter Strafe. Und eventuelle Schäden bei Dritten, die durch eine grob fahrlässige Nicht-Absicherung entstehen, werden teuer. Es geht nicht darum die Hacker zu schützen und den Geschädigten zu betrafen. Es geht darum den Serverbetreiber zu sensibilisieren um wie bei Inhabern von Waffen dafür zu sorgen, dass diese von Unbefugten nicht verwendet werden können. Und das was die Logfiles zeigen sind keine Spuren zu den Tätern, sondern zu anderen Opfern, die für Angriffe missbraucht werden. Ein Sicherheitstool per se ist eine gute Sache, darauf verlassen kann man sich aber nicht. Es gehört wesentlich mehr Wissen und Energie dazu einen Server abzusichern als eine 2 Minuten Plugin Installation. Und auch das ist ein gut gemeinter Rat, weil sich der Laie mangels Wissen schnell in Sicherheit glaubt.

Reto Bieri

Na immerhin hat wiroos.com (lustiger Name, nicht?) den Befall ja festgestellt und die Seite blockiert. Schade, hat sie den Befall nicht verhindern können.

Wordfence arbeitet inzwischen sehr gut und es wurden bereits drei IP blockiert, welche in die Seite einlogen wollten. Ich werde nun die Block-Zeit deutlich erhöhen.

Willkommen! Melden Sie sich an oder registrieren Sie sich.

Virenbefall und log files

Jetzt mitmachen!