Beiträge von Reto Bieri

Na immerhin hat wiroos.com (lustiger Name, nicht?) den Befall ja festgestellt und die Seite blockiert. Schade, hat sie den Befall nicht verhindern können.

Wordfence arbeitet inzwischen sehr gut und es wurden bereits drei IP blockiert, welche in die Seite einlogen wollten. Ich werde nun die Block-Zeit deutlich erhöhen.

Oh, das tool arbeitet sehr gut. Es meldet mir alle logins und alle IPs. Und schliesslich ist es kriminell, eine Seite zu hacken oder spam zu deponieren! Die Ausrede, ein Passwort sei nicht stark genug gewesen, hilft da nichts. Zudem kann man ja Monitorprogramme auf Computer installieren, um Passwôrter zu klauen oder auch sonst mitzulesen, was jemand schreibt.

Wenn jemand in deine Wohnung einbricht und die Polizei würde sagen, du hättes halt ein besseres Schloss anbringen sollen, was würdest du dann denken?

Aber die Seite scheint wieder in Ordung zu sein. Das logfile gibt Auskunft, über das was passiert ist und durch wen. Und die Liste der befallenen Dateien zeigt den Schaden. Eigentlich genug, um die Kriminellen an den Pranger zu stellen :-). Und darum ging es mir!

Gruss
Patrick Reto Bieri

Kein Problem, die Seite ist bereits wieder neu installiert. Alle infizierten Dateien sind geloescht. Es geht mir nur darum moeglichst viel ueber die Atacke herauszufinden.

Ich hab zudem jetzt das hier installiert: https://es.wordpress.org/plugins/wordfence/

Das scheint ziemlich stark zu sein und ich hoffe, es gibt keine neuen Viren mehr auf der Seite.

Support Ticket

Edit von maxe: Bitte nicht alles als Text posten, habe es jetzt mal als Zitat gekennzeichnet.

Zitat

[COLOR=#32373C][FONT=&quot]Su sitio hosteltromen.com fue suspendido preventivamente debido a que estaba realizando envíos de SPAM.[/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]Los envíos estaban siendo realizados desde un archivo que creemos fue subido de forma no autorizada a su sitio web aprovechando una vulnerabilidad de seguridad.[/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]Hemos renombrado el directorio public_html por public_html_verificar para que no sea necesario suspender la cuenta completamente, pudiendo así utilizar el correo electrónico, y además tener la posibilidad de acceder a los archivos de su sitio web para resolver los problemas de seguridad.[/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]—-
IMPORTANTE: Tenga en cuenta que en WIROOS somos muy estrictos en lo relacionado con SPAM y seguridad. Su servicio podría ser cancelado de manera definitiva en caso de que no sea cuidadoso con la seguridad de su servicio ya que Ud. es responsable por el mal uso del mismo.[/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]Por favor, no elimine simplemente los archivos que fueron subidos a su sitio, preocúpese por resolver el problema que permitió que esos archivos se suban, que es el problema de fondo.[/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]No le reste importancia a este asunto. Considere las pérdidas económicas que sufriría su negocio si su servicio es suspendido o cancelado.
—-
—-
Colaboramos en la resolución de este problema compartiéndole el siguiente resultado de nuestro scan de virus y exploits:[/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/Marvins.php’
# Known exploit = [Fingerprint Match] [PHP Shell Exploit][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/Mkutps.php’
# Known exploit = [Fingerprint Match] [PHP Shell Exploit][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/af1d89.php’
# Known exploit = [Fingerprint Match] [PHP Obfuscated Exploit [P1070]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/eaiubnv3.php’
# (decoded file [advanced decoder: 14 (depth: 1)]) Known exploit = [Fingerprint Match] [PHP Obfuscated Exploit [P1070]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/gtde.php’
# Known exploit = [Fingerprint Match] [PHP POST Exploit [P1274]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/index.php’
# Known exploit = [Fingerprint Match] [PHP Injection Attack [P1261]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/phqmv.php’
# Known exploit = [Fingerprint Match] [PHP POST Exploit [P1274]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-config.php’
# Known exploit = [Fingerprint Match] [PHP Injection Attack [P1261]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-pols.php’
# Known exploit = [Fingerprint Match] [PHP POST Exploit [P1274]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/cgi-bin/favicon_ea47a8.ico’
# Known exploit = [Fingerprint Match] [PHP Obfuscation Exploit [P0803]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-admin/css/colors/midnight/fuxemngl.php’
# Known exploit = [Fingerprint Match] [PHP COOKIE Exploit [P1037]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-content/plugins/nextgen-gallery/products/photocrati_nextgen/modules/nextgen_addgallery_page/static/plupload-2.1.1/Moxie.xap’
# (compressed file: Moxie.dll [depth: 1]) MS Windows Binary/Executable [application/x-winexec][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-content/plugins/nextgen-gallery/products/photocrati_nextgen/modules/nextgen_admin/templates/field_generator/nextgen_settings_field_width_and_unit.php’
# Known exploit = [Fingerprint Match] [PHP POST Exploit [P1274]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-content/plugins/nextgen-gallery/products/photocrati_nextgen/modules/nextgen_basic_tagcloud/Mrcrtq.php’
# Known exploit = [Fingerprint Match] [PHP Shell Exploit][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-content/plugins/nextgen-gallery/products/photocrati_nextgen/modules/nextgen_gallery_display/static/fonts/Dcqdm.php’
# (decoded file [advanced decoder: 14 (depth: 1)]) Known exploit = [Fingerprint Match] [PHP Shell Exploit [P0324]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-content/plugins/qtranslate-x/comay.php’
# Known exploit = [Fingerprint Match] [PHP Exploit][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-content/plugins/qtranslate-x/qutofxpe.php’
# Known exploit = [Fingerprint Match] [PHP GLOBALS Exploit [P0923]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-content/plugins/so-css/lib/codemirror/addon/fold/Dcqdm.php’
# (decoded file [advanced decoder: 14 (depth: 1)]) Known exploit = [Fingerprint Match] [PHP Shell Exploit [P0324]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-content/plugins/wp-google-maps/base/umezdvto.php’
# Known exploit = [Fingerprint Match] [PHP GLOBALS Exploit [P0923]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-content/themes/sketch/404.php’
# Known exploit = [Fingerprint Match] [PHP Obfuscation Exploit [P0877]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-content/themes/sketch/addon.php’
# Known exploit = [Fingerprint Match] [PHP Obfuscation Exploit [P0877]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-content/themes/sketch/header.php’
# (decoded file [advanced decoder: 14 (depth: 1)]) Known exploit = [Fingerprint Match] [PHP WordPress Exploit [P0970]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-content/themes/twentyfifteen/author-bio.php’
# Known exploit = [Fingerprint Match] [PHP POST Exploit [P0892]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-content/themes/twentyfifteen/extension.php’
# Known exploit = [Fingerprint Match] [PHP Obfuscation Exploit [P1082]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-content/themes/twentyfifteen/message.php’
# Known exploit = [Fingerprint Match] [PHP Obfuscation Exploit [P1082]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-content/themes/twentyfifteen/messages.php’
# Known exploit = [Fingerprint Match] [PHP Obfuscation Exploit [P0877]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-content/themes/twentyfifteen/single.php’
# Known exploit = [Fingerprint Match] [PHP Obfuscation Exploit [P0877]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-content/themes/twentysixteen/404.php’
# Known exploit = [Fingerprint Match] [PHP Obfuscation Exploit [P0877]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-content/themes/twentysixteen/js/Mrcrtq.php’
# Known exploit = [Fingerprint Match] [PHP Shell Exploit][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-content/uploads/extension.php’
# Known exploit = [Fingerprint Match] [PHP Obfuscation Exploit [P1082]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-content/uploads/message.php’
# Known exploit = [Fingerprint Match] [PHP Obfuscation Exploit [P1082]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-includes/Requests/IDNAEncoder.php’
# Known exploit = [Fingerprint Match] [PHP Injection Exploit [P0997]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-includes/Requests/Exception/HTTP/401.php’
# Known exploit = [Fingerprint Match] [PHP Injection Exploit [P0997]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-includes/Requests/Exception/HTTP/417.php’
# Known exploit = [Fingerprint Match] [PHP POST Exploit [P1274]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-includes/css/modules.php’
# Known exploit = [Fingerprint Match] [PHP Exploit][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-includes/js/jcrop/zcpghkcy.php’
# Known exploit = [Fingerprint Match] [PHP GLOBALS Exploit [P0923]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-includes/js/swfupload/gfaahgsu.php’
# Known exploit = [Fingerprint Match] [PHP GLOBALS Exploit [P0923]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-includes/random_compat/byte_safe_strings.php’
# Known exploit = [Fingerprint Match] [PHP Injection Exploit [P0997]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-includes/random_compat/random_bytes_libsodium.php’
# Known exploit = [Fingerprint Match] [PHP Injection Exploit [P0997]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-includes/rest-api/class-wp-rest-response.php’
# Known exploit = [Fingerprint Match] [PHP Injection Exploit [P0997]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]‘/home/hosteltr/public_html_verificar/wp-snapshots/index.php’
# Known exploit = [Fingerprint Match] [PHP Injection Attack [P1261]][/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]—-[/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]Por favor háganos saber cuando el problema de seguridad fue resuelto para reactivar su sitio web.[/FONT][/COLOR]
[COLOR=#32373C][FONT=&quot]Atte.,
El equipo de WIROOS[/FONT][/COLOR]

Alles anzeigen

Ja, das Verzeichnis logs ist auf der selben Ebene wie public_html. Wir hatten viele Zugriffe von IP Adressen, die ganz schnell hintereinander Seiten aufgerufen haben. Alle paar Sekunden. Ich poste hier noch das Support Ticket vom 8.August. Vielleicht koennt ihr was zu den Dateien sagen, die befallen waren?

[COLOR=#32373C][FONT=&quot]
[/FONT][/COLOR]

Hallo

Wir hatten einen Virenbefall auf der Seite. Nun ist die Seite wieder aktiv: hosteltromen.com

Nach der Neuinstallation habe ich den Virenscanner von cPanel benutzt und er lieferte mir zwei Resultate. Beides log files aus dem Verzeichnis logs von WP. Die meldung lautete:

logs / hosteltromen.com-Ago-2017.gz YARA.eval_post.UNOFFICIAL

Ich hab dann den Support gefragt und dieser hat geschrieben, es seien bloss Sicherheitskopien. Doch das ist doch nicht wahr?

Ich kenne mich nicht aus mit log files, aber ich habe es geoeffnet mit notepad++. Offenbar sind darin alle Zugriffe auf die Seite vermerkt, mit IP Adresse?

Ich habe dann gesehen, dass sehr viele dieser Zeilen im log file auf wp-login verweisen. Hier ein Beispiel:

91.200.12.28 - - [02/Aug/2017:12:26:17 -0300] "POST /wp-login.php HTTP/1.1" 200 3611 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:18.0) Gecko/20100101 Firefox/18.0"

Was bedeutet das? Wollte jemand in WP einloggen? Oder der hier:

198.204.235.27 - - [07/Aug/2017:14:14:35 -0300] "POST //xmlrpc.php HTTP/1.1" 200 415 "http://www.google.com.hk" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/42.0.2311.90 Safari/537.36"

Was bedeutet POST? Die Seite ist ganz einfach, man kann nichts posten, keine Kommentare, keine Formulare. Dieser Zugriff erfolgte sehr oft hintereinander, mit derselben IP, vielleicht 50 x!

Der Virenbefall wurde vom Hoster wiroos.com am 8.8.2017 mit Supportticket gemeldet. Ich moechte herausfinden, wie der Virus auf die Seite kam und was fuer ein Virus es war. Der Support sagt, er weiss es nicht. Die Seite wurde dann am 8.8.2017 gesperrt mit einem 403 und alle Dateien aus dem public_html in ein anderes Verzeichnis verschoben.

Das ganz log file ist hier: http://portalpb.bplaced.net/logfile/

Kann mir jemand damit helfen?

Gruss
Patrick