Angriff auf Website

Hi,

Zitat von HWSchaefer

In der Mail habe ich dann eine Liste erhalten von Dateien, welche von Dritten hochgeladen worden seien mit dem Rat, diese zu löschen. Das habe ich bereits getan.

Damit ist es natürlich nicht getan, da die Sicherheitslücke ermittelt werden muss.
Wenn 1&1 nicht mitgeteilt hat, über welche Datei der Zugriff erfolgt ist, muss man die Log Dateien für die Zugriffe prüfen und dort nach dem Dateinamen der hochgeladenen Datei suchen. Nur so bekommt man heraus welche PHP Datei oder Skript den unautorisierten Dateiupload ermöglichte.

Zitat von HWSchaefer

Jetzt fängt das Problem an: im Ordner wp-content liegt ein Ordner updraft mit Sicherungsdateien. Wie aber soll ich die modifizierten Dateien dort herausfinden?

Hier wurde wohl mit einem Backup Plugin gearbeitet und ich vermute jetzt mal das UpdraftPlus verwendet wurde.
Wenn UpdraftPlus verwendet wurde, sollten im Updraft Ordner diverse gepackte Datei Archive vorzufinden sein.
Diese müsstest du herunter laden und entpacken, damit du die einzelnen Dateien für die Wiederherstellung verwenden kannst.
Das ist allerdings ziemliche Frickelarbeit, daher ist es einfacher eine neue WP Installation aufzusetzen und dann mittels des Plugin eine Wiederherstellung der alten Installation durchzuführen.

Doch auch auf diesem Weg ist die Sicherheitslücke höchst wahrscheinlich wieder vorhanden und könnte vom Hacker erneut ausgenutzt werden. Daher wie ich oben bereits geschrieben hatte, muss diese Lücke gefunden und beseitigt werden.

Der Website wurde mit sehr hoher Wahrscheinlichkeit gehackt, vermutlich mehrfach.

Üblicherweise würde man jetzt erstmal ein Komplettbackup im gehackten Zustand erstellen, damit man später nachvollziehen kann, wo die Lücke war. Das geht nicht mehr ganz, weil Du schon Dateien gelöscht hast. Daher jetzt noch vom gesamten Rest ein Backup machen, alle Dateien per FTP in einen lokalen Ordner runterladen und dann in ein .zip sichern.

Das allgemeine Vorgehen bei einem Hack ist z.B. hier beschrieben.

In Deinem Fall würde man die aktuelle Installation mit frisch heruntergeladenen sauberen Core-, Plugin- und Theme-Dateien vergleichen, die Unterschiede notieren, dann durch Vergleich mit den Updraft Dateien nachschauen, ab welchem Zeitpunkt die ersten dieser Unterschiede aufgetreten sind, dann über das Datum dieses Backups anhand der Serverlog Dateien die Lücke identifizieren wenn möglich.

Dann alle alten Dateien komplett vom Server löschen, ein Backup vor dem ersten Unterschied mit einer Neuinstallation verwenden, die gefundene Lücke schliessen, und alle Passwörter ändern (WordPress, FTP, Datenbank).

Alternativ professionelle Hilfe z.B. über die Jobbörse hier im Forum suchen.