Google Suchergebnis verlinkt auf SPAM-Seiten

WP Cron ist ein legitimer Teil des WordPress Core, darüber werden regelmässig dort eingetragene Aufgaben bearbeitet, und in Deinem Fall offenbar u.a. auch der Trojaner neu installiert bzw. repariert oder initialisiert. Die Datei [FONT=Courier New]WPINC . '/images/tnd.png[/FONT]' ist hier kein Bild sondern eine PHP-Datei mit Teilen des Trojaners.

Ändere die Passwörter einfach vor und nach dem Abarbeiten der gesamten Liste.

Mit dem Installieren eines Secruity-Plugins und dem Austausch nur selektiver Dateien ist es nicht getan. Es muss ein kompletter Abgleich aller .php Dateien auf dem Server (Core, Plugins, Theme, u.a.) mit sicher sauberen Versionen erfolgt sein. Dabei beachten, Trojaner hinterlassen gern auch zusätzliche Dateien in System- oder Theme oder Plugin- oder Upload-Ordnern, die ggf. vom Namen her legitim klingen, es aber nicht sind. Daher auszutauschende Ordner vorher komplett löschen.

Die Datei [FONT=Courier New]wp-config.php[/FONT] bei der Untersuchung nicht vergessen, dort verstecken sich Trojaner oft in der ersten Zeile, erst sichtbar wenn man im Editor gaaaanz weit nach rechts scrollt.

Ggf. empfiehlt sich auch die Nutzung professioneller Hilfe, die gibt es über die Jobbörse hier im Forum.

Da ich vor kurzem (bzw. eigentlich immer noch) mit ziemlich exakt dem gleichen Hack zu tun hatte/habe:

1.) Ersetz das gesamte wp-includes Verzeichnis gegen die Orginal-Dateien.
2.) Ersetz die wp-load.php im Wordpress-Root gegen die original-Datei.
3.) Lösche (zusätzlich) folgende Dateien:
wp-content/wp-advanced-cache.php
wp-content/themes/index.php
4.) Prüf das webroot auf eine Datei "0.php". Wenn vorhanden -> löschen.
5.) Verhinder per htaccess den Zugriff auf die unter 3 und 4 genannten Dateien.

Ansonsten alle "üblichen" Maßnahmen durchführen, die die anderen auch schon empfohlen haben. Leider weiß ich bis heute die Ursache nicht und beobachte noch. Aber bislang scheint es, zumindest vorübergehend, zu wirken.

@danielgoehr Es ist in den seltensten Fällen nur ein Hack, erfahrungsgemäss sind es allermeist unterschiedlichste Kombinationen aus diversen Hacks und Trojanern, die über erratene Kennwörter oder auch über z.B. "genullte" Themes und Plugins o.ä. an Bord kommen.

Zu 1. & 2. Es müssen immer ausnahmslos ALLE WordPress-Dateien, Theme- & Plugin-Dateien (auch nicht aktive) ersetzt bzw. abgeglichen werden, siehe Link oben.

Zu 3. Die beiden genannten Dateien sind legitim und müssen nicht verseucht sein, das Löschen einer legitimen [FONT=Courier New]wp-advanced-cache.php[/FONT] kann unter Umständen das Frontend eines Websites lahmlegen.

Deine Liste ist ein Erfahrungsbericht eines Einzelfalls, und falls die unter 3. genannten Dateien wirklich verseucht waren, würde ich darauf wetten, dass es noch eine ganze Reihe andere Dateien gegeben hat oder auch noch gibt.

Ein Klassiker hier ist die erste Zeile der [FONT=Courier New]wp-config.php[/FONT] oder ein paar offiziell klingende [FONT=Courier New].php[/FONT] Dateien in einem Unterordner in einem inaktiven Twenty XXX Theme.

Zitat von Fitzkogerd

2. dann wp_includes und wp_admin löschen bzw. neu hochladen? Was bringt das, wenn im root the wp_load.php Datei geändert wird?

Bitte genau lesen, dort steht:

Zitat

Alle Systemdateien von WordPress ersetzen, dafür wp-admin/ und wp-includes/ komplett löschen.

Die Systemdatei [FONT=Courier New]wp-load.php[/FONT] (die meinst Du wahrscheinlich, ein [FONT=Courier New]wp_load.php[/FONT] gibt es in WordPress nicht) gehört natürlich dazu. Die beiden Unterordner löscht man vorher, weil beim einfachen Überschreiben der Ordner die vom Trojaner / Hack zusätzlich irgendwo eingefügte Dateien sonst erhalten bleiben.

Zitat von b3317133

@danielgoehr Es ist in den seltensten Fällen nur ein Hack, erfahrungsgemäss sind es allermeist unterschiedlichste Kombinationen aus diversen Hacks und Trojanern, die über erratene Kennwörter oder auch über z.B. "genullte" Themes und Plugins o.ä. an Bord kommen.

Das war nur als Hinweis gemeint, diese Dateien hängen (zumindest bei meinem Hack) alle ziemlich eindeutig und nachvollziehbar zusammen. Es ist auch nicht als Lösung gemeint, sondern eher als schnelle, erste Abhilfe. Natürlich muss die Ursache gefunden werden. Aber das ist halt manchmal nicht so einfach. Ich schreibe gerade Logs und überwache Veränderungen in verschiedenen Verzeichnissen und konnte so bislang den Zusammenhang dieser Dateien feststellen. Es kann beim TE natürlich anders sein. Aber es ist trotzdem nicht verkehrt, diese Dateien Mal gezielt unter die Lupe zu nehmen.

Genullte Themes und Plugins kann ich sicher ausschließen. Wordpress, Plugins und Theme sind aktuell und werden seit Jahren regelmäßig aktualisiert.

Zitat von b3317133

Zu 1. & 2. Es müssen immer ausnahmslos ALLE WordPress-Dateien, Theme- & Plugin-Dateien (auch nicht aktive) ersetzt bzw. abgeglichen werden, siehe Link oben.

Das sollte ja relativ klar sein, bzw. wurde ja auch schon erwähnt. Deswegen meinte ich ja, meine Informationen sind eher als Zusatz zum bereits empfohlenen/gesamten zu sehen.

Zitat von b3317133

Zu 3. Die beiden genannten Dateien sind legitim und müssen nicht verseucht sein, das Löschen einer legitimen [FONT=Courier New]wp-advanced-cache.php[/FONT] kann unter Umständen das Frontend eines Websites lahmlegen.

Ok, das ist richtig. Insofern korrigiere ich mich und würde auch eher empfehlen, sie nicht blind zu löschen, sondern einen Diff zu erstellen. wp-advanced-cache.php gehört meines Wissens nach zu WP Super Cache. Ist das nicht installiert, sollte das löschen ungefährlich sein. Ist es installiert, ist das ersetzen durch die Original-Datei natürlich der bessere Weg.

Zitat von b3317133

Deine Liste ist ein Erfahrungsbericht eines Einzelfalls, und falls die unter 3. genannten Dateien wirklich verseucht waren, würde ich darauf wetten, dass es noch eine ganze Reihe andere Dateien gegeben hat oder auch noch gibt.

Es ist ein Einzelfallbericht, der exakt die gleichen Symptome zeigt, die der TE beschreibt (gleiche Manipulation der wp-load.php, tnd.png im wp-includes/Images Verzeichnis). Die "Installation" dieser beiden Dateien und auch der Datei ms-advanced-cache.php in wp-includes erfolgt über die manipulierte wp-advanced-cache.php durch einen Aufruf mit dem angehängten Parameter "root" (nachvollziehbar und reproduzierbar). Die index.php im Theme-Verzeichnis scheint die Quelle der wp-advanced-cache.php in wp-content zu sein. Die Dateien hängen also schon relativ eindeutig zusammen und es nicht nicht unwahrscheinlich, dass es beim TE genauso ist. Es sind nicht einfach zufällig unterschiedliche, manipulierte Dateien.
Ich hätte mich zumindest gefreut, wenn sich diese Zusammhänge damals hätten ergoogeln lassen. Hätte mir viel Zeit gespart.
Ich bin mir weitestgehend sicher, dass es keine weiteren manipulierten Dateien mehr gibt. Die Dateien wurden alle erstezt und werden fortlaufend mit den Originaldateien abgeglichen.

Nur die Quelle der manipulierten index.php im Theme Verzeichnis is ist mir bislang ein Rätsel. Da aktuell aber nichts mehr passiert, komme ich hier zumindest aktuell nicht weiter bei der Analyse.

Zitat von b3317133

Ein Klassiker hier ist die erste Zeile der [FONT=Courier New]wp-config.php[/FONT] oder ein paar offiziell klingende [FONT=Courier New].php[/FONT] Dateien in einem Unterordner in einem inaktiven Twenty XXX Theme.

Es gibt, zumindest in meinem Fall, keine inaktiven Themes oder Plugins.

Wie gesagt. Ich meinte das auch nicht als Lösung des Problems, sondern eher als schnelle erste Hilfe zur Bereinigung und als Anhaltspunkte für den TE. Das habe ich vorhin vielleicht etwas zu knapp/missverständlich formuliert. Wenn es beim TE am Ende ganz anders ist, hilft das natürlich nicht weiter. Ich vermute aber weiterhin, dass es quasi der gleiche oder zumindest ein sehr ähnlicher Hack ist.

Das heisst, in Deinem Fall ergibt ein Diff aller Dateien des gesamten Websites und einem Satz sauberer frisch entpackter zips der gleichen Versionen des WP Core und allen Plugins und allen Themes eine 100% Übereinstimmung (ausgenommen wp-config.php)?

Zitat von b3317133

Das heisst, in Deinem Fall ergibt ein Diff aller Dateien des gesamten Websites und einem Satz sauberer frisch entpackter zips der gleichen Versionen des WP Core und allen Plugins und allen Themes eine 100% Übereinstimmung (ausgenommen wp-config.php)?

Jein. So einfach ist es ja (leider) nicht.

Für wp-includes und wp-admin und das Root-Verzeichnis (bis auf wp-content.php): Ja.
Für das Theme und Plugins: Ja.

Das Child-Theme und eigene Plugins habe ich mit verschiedenen "alten" Backups abgeglichen (von denen ich zumindest weitgehend sicher bin, dass sie sauber waren). Hier besteht natürlich aktuell noch ein Restrisiko.

Das gleiche gilt für das (leider sehr umfangreiche) wp-content Verzeichnis. Hier habe ich auch diffs mit meinen Backups erstellt und zumindest alle PHP Dateien soweit geprüft. 100% ausschließen, dass es unter den neueren Dateien noch z.B. manipulierte Bilddateien gibt, kann ich aktuell nicht.

Im Moment überwache ich Datei-Änderungen und schreibe mir dazu Logs mit timestamps um sie dann ggf. mit den Access Logs abzugleichen. So habe ich die bisherigen Zusammenhänge der o.g. Dateien herstellen/reproduzieren können. Da aber, wie gesagt, aktuell keine Veränderungen mehr stattfinden, sammel ich so gesehen auch keine brauchbaren Informationen mehr.

Ich muss aber auch ehrlich sagen, ich habe schon einiges an Hacks gesehen und bereinigt. Sowas habe ich bislang noch nicht gesehen. Sonst kommen solche Hacks ja eher etwas plump daher. Hier hat sich jemand auf jeden Fall mal ein paar Gedanken gemacht. Vielleicht hätte ich bislang aber auch einfach nur Glück ;)

Welche .php Dateien ausser Themes und Plugins gibt es in wp-content/ denn noch?

Zitat von b3317133

Welche .php Dateien ausser Themes und Plugins gibt es in wp-content/ denn noch?

Möchtest du die konkrete Liste? Dann müsste ich morgen nachschauen. Das weiß ich nicht aus dem Kopf.
Aber es gibt ja z.B. die index.php Dateien ("silence is golden").