WP Malware/Virus serverübergreifend?

Guten Tag,

vor ca. 3 Wochen hatte ich auf allen meiner WordPress Installationen einen Virus. Man wurde beim Aufrufen der Seiten immer auf Werbung weitergeleitet.
Ich ging wie folgt vor:

• WordFence installieren
• Scan: Alle gefunden Dateien entfernt und die headers "repairt" (also Code der Weiterleitung entfernen lassen)

Das hat jedoch nicht funktioniert. Ich habe mich dann entschlossen, alle Webseiten neu aufzusetzen. (Neue WP Installation)
Jetzt, ein paar Tage nachdem ich die Seiten komplett neu erstellt habe, werden wieder automatisch die header mit code versehen. Keine 5 Minuten nachdem ich ihn wieder entfernt habe, kommt er wieder. Die verschiedenen Scans zeigen nichts an, außer dem Code, sofern vorhanden und nicht von mir gelöscht.

Auf meinem Server befinden sich, noch von anderen Seiten, Installationen die verseucht sind. Ist es möglich, dass diese auf meine anderen Installationen übergreifen?
Ich kann mir nicht vorstellen, wie ein neuer Virus auf meine frischen Installationen kommen kann...

Zitat von FloRet

Hallo - sämtliche Passwörter (FTP, SQL,.... nach der Bereinigung geändert?

Ich vermute sehr stark das irgendwo "NULLED THEMES oder PLUGINS" verwendet werden, und daher immer wieder eine Infektion von statten geht.

Und ja, es ist durchaus möglich wenn andere Seiten auf dem Space befallen sind, diese auch auf Dich überschwemmen können.

Ich empfehle hier eindeutig, einen PROFI zu engagieren der sich der Sache annimmt!

Das wichtigste: Sofort alle Seiten deaktivieren mittels .htaccess, damit keine weiteren Schäden gemacht werden können.

LG

Alles anzeigen

Hallo,
vielen Dank für deine Antwort.

Nulled (gehackte) Themes oder Plugins kann ich komplett ausschließen.
Das Übergreifende betreffend: Wenn ich alle (alten) befallenen Verzeichnisse lösche, ist es eventuell möglich, dass versteckte (?) Dateien zurückbleiben, welche man mit einem FTP Client nicht einfach so sieht?

Profis hatte ich bereits kontaktiert. Bei einem Preis von __€ pro Seite lohnt es sich für mich (leider) überhaupt nicht. Da wäre es sogar noch billiger, den Hoster zu wechseln.

Gibt es keine Möglichkeit, mittels eines Plugins (Firewall?) den erneuten Befall nach einem Scan (+ clean) zu verhindern?

Hallo FloRet!

Zitat von FloRet

Die Frage ist immer, bist Du abhängig von der Lauffähigkeit der Seite - sprich Shops etc..., oder sind es nur "Hobby-Projekte"?

Das sind wirklich nur reinie Hobbyprojekte - daher lohnt sich auch ein größerer, finanzieller Aufwand gar nicht..

Zitat von FloRet

Bei welchen Hoster bist Du?

Ich bin bei All-Inkl und verwende den Tarif "Premium".

Zitat von FloRet

Sind die benachbarten Seiten auch von Dir, oder von Deinen Kunden? Setzen diese mit Sicherheit auch keine Nulled Sachen ein?

Diesbezüglich habe ich nochmal alle Seiten, die auf diesem Webspace laufen, durchgesehen. In der Tat habe ich ein Projekt gefunden, bei welchem ich nicht zu 100% ausschließen konnte, dass dort die Themes genulled waren. (Daher vermutlich auch immer wieder meine anderen Projekte infiziert/"übergeschwabbt"?)

Ich habe anschließend die gesamte Installation des Projekts gelöscht und auf allen anderen Seiten das Plugin "GOTMLS" (Malware Scanner + Cleaner) installiert und gleichzeitig gestartet, sodass alle Installationen clean sind.

Das war heute gegen 10 Uhr. Seitdem habe ich keine Veränderungen der header.php's o.Ä. mehr festgestellt und auch Weiterleitungen wären mir aufgefallen.

Was mir jetzt aber noch Sorgen bereitet ist die Datei "tempotempl", die sich anscheinend immer wieder in meine Installation schleicht. Den Inhalt der Datei (202 byte) habe ich als Screenshot angefügt. Die URL welche im Code zu sehen ist, steht laut WordFence auf der "domain blacklist".