Anfängerfrage wp-config.php malware-Prüfung?

Was ist das für ein Provider? Warum hat der nicht selbst einen Virenscan? Und warum meint der, Mailware ließe sich einfach dadurch eintdecken, indem man einen Blick in die config.php wirft? Das waren rhetorische Fragen.

Eine erste schnelle Prüfung könntest du hier durchführen: sucuri
Danach oder außerdem könntest du ein Plugin zur Prüfung installieren, bspw. WordFence

https umstellung muss Provider machen. Denke nicht das Du darauf Zugriff hast.
Wordfance lasse ich auch gerade laufen, bringt aber leider nicht den gewünschten Erfolg weil es unzählige Dateien als High auflistet von denen man nur ahnen kann das sie vom Template sind. Sucuri hat bei mir auch alles als sauber angezeigt. Google auch.
Blöderweise wird die site url in der Datenbank ständig wieder geändert. Das produziert natürlich linkfehler.
In den Logs ist auch nicht erkennbar welches script das macht. Eigentlich sollten die ganzen Hacks und ihre Auswirkungen bekannt sein.
Leider ist dazu im Netz nicht viel zu finden. Denke nicht das ich der Einzige bin der betroffen ist.

Zitat von worddummy

Wordfance lasse ich auch gerade laufen, bringt aber leider nicht den gewünschten Erfolg weil es unzählige Dateien als High auflistet von denen man nur ahnen kann das sie vom Template sind.

Das ist aber eher ein schlechtes Zeichen. Normalerweise ist das nicht so. Das klingt tatsächlich so, als wäre deine Seite gehackt worden.

Poste Mal einen Screenshot dieser "High" Ergebnisse.

Wären eine Menge Screenshots.
Mann muss doch in irgendwelchen Logs feststellen können welche Datei für die Datenbankänderung verantwortlich ist.
Die mysql log zeigen nur die Änderungen an aber nicht das script welches es ausführt.

die meisten versuche wp-login kommen aus ohio von einem bzw. mehreren amazon IPs.
wordfence hat die meisten blockiert

Die ganzen Tools versagen. Die ganzen Logs liefern keinen Hinweis auf die Lücke.

Wenn die Installation "gut durchgehackt" ist, wovon man anhand Deiner Beschreibung mit u.a. "eine Menge Screens mit High Ergebnissen" wohl ausgehen muss, dann kann das beste Tool in WordPress nichts ausrichten, da es immer von einem der Hacks ausgehebelt werden kann und wird. Siehe Hase und Igel, ein Hack ist immer schneller.

Das allgemeine Vorgehen bei einem Hack ist z.B. hier beschrieben, das könntest Du mit jemandem mit WordPress Erfahrung bei Dir im näheren Umfeld zusammen durchgehen.

Dabei am Wichtigsten wäre, die für den Hack genutzte(n) Lücke(n) zu ermitteln, damit das nicht wieder passiert.

Es wäre eh sinnvoller nicht auf Tools zu setzen sondern zu beschreiben wo diese Lücken genau sind.
Habe schon nach den Symptomen gesucht aber nicht viel brauchbares gefunden. Denke nicht das ich der einzige Betroffene bin.
Das einzige was passiert ist das die siteurl in der DB sich in unregelmässigen Abständen ändert. Es werden subdomains die auf dem Server theoretisch erreichbar sind eingetragen. Da diese Domains nicht mehr erreichbar sind führt es zu Fehlern. Es muss also ein Script sein das DB Zugriff hat und dieses Feld ändert. Server ist neu und aktuell mit komplett neuen Passwörtern. WP und Plugins sind auf neusten Stand.
Vermutlich ist da mal was zwischen den Updates reingekommen.

Zitat von worddummy

.. sondern zu beschreiben wo diese Lücken genau sind.

Die Lücken über die der Hack kam findet man durch Einblick in Änderungsdatum Dateien usw. sofern noch vorhanden, Abgleich aller WordPress Ordner/Dateien mit wissentlich frischen sauberen Versionen, Analyse Logfiles usw.

Was auf dem gehackten Server passiert, ist eher zweitrangig, normalerweise bei guten Hacks sieht man gar nichts, bei Dir lief einer der Hacks wohl aus dem Ruder, so dass Du ihn bemerkt hast. Das ist aber im Regelfall nur ein kleiner Teil.

Zitat von worddummy

Server ist neu und aktuell mit komplett neuen Passwörtern. WP und Plugins sind auf neusten Stand.

Wann wurde das neu gemacht? Nach Deinem Posting hier vom Mittwoch? Wie genau? Nach welcher Anleitung? Wurde vor dem neu machen alle Dateien und Ordner komplett entfernt? Welche Ergebnisse zeigt WordFence nach dem neu machen? Screenshots?

Sind alle Plugins auch aktuell gepflegt und werden regelmässig von den Pluginautoren aktualisiert? Welche Plugins werden verwendet? Screenshot Liste der Plugins?

Ist das Theme aktuell und wird regelmässig vom Themeautor aktualisiert? Screenshot Design > Themes > Dein Theme > Theme Details?

Und aufgrund Deiner Beschreibung diese Frage: Steht irgendwo in der Datei [FONT=Courier New]wp-config.php[/FONT] eine Zeile wie diese?

define('RELOCATE',true);

Falls ja, entferne diese Zeile.

Letztlich wird dir keiner ohne eingehende Analyse sagen können, wie und wodurch deine Installation gehackt wurde. Und ich befürchte, so eine Analyse lässt sich in einem Forum nicht durchführen.

Solange Wordfence manipulierte Dateien anzeigt, musst du jede dieser Dateien als Einfallstor behandeln. Es ist nicht eine Datei irgendwo, die deine Datenbank verändert.