Wordpress "angeblich" gehackt?

Hallo Leute,

heute morgen wurde mein FTP-Zugang und mein Webspace gesperrt. Der Grund dafür ist, dass er gehackt wurde und sich darauf infizierte Dateien befinden.

Ich bin dann rüber zum Support der mir dann sagte, ich soll einige Dateien löschen. Er entsperrte mein Webspace und ich tat dies, konnte über Filezilla auch sehen, dass die infizierten Dateien am 28.02 hochgeladen wurden. Ich selber habe mich aber sicherlich schon eine Woche nicht mehr dort eingeloggt, auch konnte ich kein Trojaner festellen.

Ich habe aber zuletzt ein Theme namens "Arras" (http://arrastheme.com/) hochgeladen. Der vom Support sagte, es handelt sich um "Malware".

Allerdings führe ich drei Blogs, auf den anderen dreien wurde nichts gemacht obwohl ein Blog sogar auf denselben Webspace ist.

Können die infizierten Daten eventuell etwas erklären?

Zitat

Alexander: - Loeschen Sie die vom Hacker hochgeladenen Dateien
Alexander: - Aendern Sie das MySQL Passwort
Alexander: - Aendern Sie das CMS Passwort
Alexander: - Update des CMS auf die letzte Version
Alexander: Liste der zu loeschenden Dateien:
Alexander: logx.txt
Alexander: wp-option.php
Alexander: wp-includes/wp-script.php
Alexander: wp-includes/class-php.php
Alexander: wp-includes/wp-help.php
Alexander: wp-includes/js/update.php
Alexander: wp-admin/options-admin.php
Alexander: wp-admin/options-header.php
Alexander: wp-content/plugins/contact-form-7/uninstall.php
Alexander: wp-content/themes/Karma/cache/external_05671b83ab562c5004677065940dfc5a.php
Alexander: wp-content/themes/Karma/cache/external_59904625d17acf740284abafb50bea71.php
Alexander: wp-content/themes/Karma/cache/external_f8a08a202c3eddbe2b35f2f1442d2e22.php
Alexander: wp-content/themes/__MACOSX/Jovan/js/ad.php

Alles anzeigen

Hey Ralf,

was für ein komischer Zufall, im oben angesprochenen Theme, was ich kurz vorher instaliert habe, befindet sich das Addon "Timthumb". (https://github.com/zyml/arras-theme/downloads).

Ich habe das Theme aber nicht in Betrieb genommen sondern nur mal kurz getestet und wieder gewechselt. Eventuell könnte da ein Zusammenhang bestehen?

Das Theme "Jovan" liegt auch nur auf dem Server, ich verwende ein ganz anderes. Mich würde interessieren, ob jemand von außen Zugriff bekommen hat oder ob ich doch irgendwie einen Trojaner haben könnte, der die Daten ausgespäht?

Es ist nur verdächtig, dass derjenige meine anderen Blogs nicht ausgespäht hat. Er hätte die Dateien auch im zweiten Verzeichnis mit meinem anderen Blog, der sich auf dem selben Webspace befindet einlagern können.

Vielen Dank für deine Tipps :D

Zitat von Michi91

Es reicht wenn eine unsichere timthumb auf dem Server leigt, aktiviert sein muss sie nicht.

Alexander: wp-includes/wp-script.php
Alexander: wp-includes/class-php.php
Alexander: wp-includes/wp-help.php
Alexander: wp-includes/js/update.php
Alexander: wp-admin/options-admin.php
Alexander: wp-admin/options-header.php

In diese dateinen könnte sich der Hacker mithilfe der Timthumb "eingenistet" haben, ich würde das als mögliche Ursache erkannte Theme entfernen, den cache ordner im karma theme entfernen. und alle betroffene Dateinen erstezen durch Backup oder erneuten Download

Hallo Michi,

vielen Dank für die Antwort! Es ist echt krass, hätte das gar nicht gedacht! Daran wird es sicherlich gelegen haben, da mein Rechner sauber ist. Ich habe soweit alle Dateien jetzt gelöscht und werde auch den gesamten Timthumb Ordner löschen und ebenfalls alle Dateien neu installieren. Wenn ich dann immer noch eine Sicherheitslücke habe, wird der Provider wieder anspringen.

Mal schauen, ob es alles klappt!