WP startet nicht mehr - Wie finde ich heraus, was kaputt ist?

Hallo!

Seit genau dem 25. ist die Installation hier nicht mehr aufrufbar:

http://www.kittikitti.de/

Die Sanduhr dreht sich und dreht sich..

Ich habe:

• Templates Deaktiviert
• Plugin Ordner umbenannt
• Getestet, ob das Diretory nocht geht, geht (siehe http://www.kittikitti.de/favicon.ico )

Geändert wurden um diesen Zeitraum nur 2 Dateien:

config.inc.php
version.php

config.inc.php ist neu, keine Ahnung von welchem Plugin.
Die Version.php ist von 1 KByte auf 7 kbyte aufgebläht. Ein Restore der alten version.php brachte die Seite wieder zum laufen..

Ok.. sagt mir nicht, dass es das ist, was ich vermute...

Hab die version.php (alt) dekodiert ([size=14]eval gzinflate base64_decode PHP Decoder)[/SIZE]

, und es kam das raus:

Habe die Domain vom Netz genommen.

Was nun..

:(

ok. wie finde ich jetzt raus, woher das ganze kam?

• lastpass mit masterpassword und alle anderen PWs sind 14 stellen lang.
• ftp pw geändert
• wp admin pw geändert
• sql db pw geändert
• altes DB backup restored
• 2 infizierte files deleted.
• WP und alle Plugins waren vor der intrusion aktuell..

andere blogs scheinen unversehrt.

ich kann mir nur bruteforce auf wp-admin erklären.

aber irgendwie kein schlechter schnitt.. 4 jahre WP install, ~ 20 k /unique visitors im monat, und der erste hack ;)

Ubuntu 11.04 64 bit mit latest updates. da mach ich mir wegen virii wirklich keine sorgen mehr

Oh gott :(. ich geh manuell die serverlogs vom 25. durch..

/htdocs/kittikitti/wp-content/themes/OptimizePress/cache

seit nem monat liegen da "seltsame kryptische" dateien..