Beiträge von Leifvn

  • Infizierte Seite?

    Hallo,
    ich gehe davon aus, dass es einen ähnlichen Thread schon geben wird, auch wenn ich ihn unter Stichwortsuche (Malware, Infiziert, Virus etc.) nicht finden konnte. Daher bitte ich schonmal um Entschuldigung falls dieser hier einen anderen doppelt.

    Mein Problem ist folgendes. Für ein Forschungsprojekt begleite ich als Hiwi eine Wordpressseite. Ich mache dies zum ersten Mal und kenne mich dementsprechend gering aus. Die Seite wurde scheinbar gehackt [Link: http://www.dfg.staedtebauleitplanung.de/ ] . Problematisch ist zusätzlich, dass nach einem Re-install (auch über Backupfiles - ich gehe mitlerweile davon aus, dass das erste Backupfile bereits gehackt ist und Backdoors enthält) sich die Seite immer wieder neu infiziert.

    Wenn man einen Re-install der WP Version durchführt funktioniert es wieder für ca. einen Tag. Ich habe mich gestern bereits in einige Anleitungen zum Checken und Löschen von Backdoorgeschichten die sich die Hacks anlegen um sich selbst zu reaktivieren gelesen, als arger Laie! versucht zu verstehen und werde versuchen das ganze zeitnah umzusetzen.

    [http://toscho.de/2009/website-gehackt/ & http://ottodestruct.com/blog/2009/hack…ress-backdoors/ ]

    Beim Plugin "WP better security" habe ich außerdem ein Häkchen bei der automatischen Kontrolle der Dateien nach Änderungen gesetzt und siehe da, soeben habe ich eine Benachrichtigung erhalten, dass eine Datei geändert wurde.

    Im genauen Wortlaut:

    "FILE: wp-config-sample.php TIME: Wednesday June 13th, 2012 at 3:17 pm UTC HASH: ec27d47c1dee04ec0dc34ef878c408be"

    Hinzukommend eine lange Liste von Modifikationen - Beispiel:

    "FILE: wp-admin/css/colors-classic.css TIME: Wednesday June 13th, 2012 at 3:22 pm UTC HASH: ebd741391596236221825c0a4de55904"

    Ich als Laie kann hier gar nicht erkennen ob dies nun böswilliger Kram ist und wenn ja, wie ich mit diesem umgehen kann. Vielleicht kennt jemand hier dieses Problem und kann mir weiterhelfen.

    Zusätzliche Info:
    Der FTP Server liegt bei einem Arbeitskollegen von mir, ich habe dort keinen Zugang, kann also nur ändern was über das Backend (oder wie dieser Zugangsbereich für Admins auch immer heißen mag.. :X ) geändert werden kann (z.B. schadhaften Code löschen im Editor....)

    Wordpress Version war 3.3.2 - habe eben auf 3.4 aktualisiert.
    Fehlermeldung bei Seitenaufruf "wp-blog-header.php could not be found" etc.
    Es laufen mehrere Seiten über einen Host (domaingo), diese Seiten habe zeitgleich die gleichen Probleme.

    Mein PC ist laut Kaspersky & housecall sauber. Braucht ihr mehr Informationen? Zögert nicht mich lauthals anzuschreien.

    Ich hoffe ihr könnt mir einigermaßen weiterhelfen. Aktuell läuft die Seite wieder (Update hat scheinbar geholfen? Ich bin gespannt wie lange...).

    Viele Grüße
    Leif