Beiträge von Deniska93

Deniska93

Zitat von Edi

Die Frage ist halt, was Du gefummelt hast. Die Website neu aufgesetzt? Teile davon ersetzt? Ein Backup eingespielt?

Plugins gelöscht (auf Dateiebene über FTP) und anschließend ein Backup über UpdraftPlus eingespielt. Hat wie gesagt funktioniert bis gestern.

Zitat von Edi

udem müsstest Du wissen, wie die Installation infiziert worden ist. Dies könnte übrigens durchaus auch durch eine andere Installation auf dem Server geschehen sein.
Mit der Datei mit angeblich infizierten oder einfach veränderten Dateien kann ich wenig anfangen. Keine Ahnung, was, ohne zu wissen, welcher Scanner zum Einsatz gekommen ist, unter Suchmuster zu verstehen ist... Und womit beispielsweise abgeglichen worden ist.

Also von uns wurde dort nichts weiter installiert. Die Website liegt ja bei Domainfactory, meinst Du es kann sein, dass von denen ein anderer Kunde auf dem selben Server irgendwas installiert hat? Ich glaube das aber eher nicht. Welchen Scanner die dort einsetzen kann ich leider auch nicht beantworten..

Deniska93

Zitat von r23

Als Admin solltest du wissen was du machen solltest - keiner Datei mehr trauen - sprich _l ö s c h e n_
warum möchtest du dich als Admin noch irgendwo anmelden? wenn du dies beim letzten mal gemacht hast - musst du deinen Rechner erst einmal auf Schadecode prüfen.
Wenn du alles gelöscht hast - und eine Datensicherung ohne Schadecode zurückkopiert hast (Backup) musst du die Sicherheitslücken suchen und beseitigen. In der Regel findest du diese in deinem gekauften Template von Themeforest. Evtl. spielt dir auch ein Plugin einen Streich.
Wenn du beim letzen mal nicht alles gelöscht hast - wird der Angreifer sich vermutlich Scripte installiert haben über die er die Angriffe weiterhin fährt.
Dienstleister können dir helfen.
Viel Glück
Ralf

Alles anzeigen

Hallo,

mein Rechner ist clean, sehr sicher sogar, IT-Security mache ich beruflich und habe den Rechner auf sämtliche möglichen Schäden überprüft.

Letztes mal habe ich tatsächlich viele Dateien und Plugins gelöscht und anschließend das Backup wieder eingespielt. Danach lief es ja einwandfrei bis heute..

Die Frage ist ja, wenn ich bspw. die komplette WP Installation lösche und eine neue Installation dort installiere, kann ich das Backup von UpdraftPlus einfach wiederherstellen? Funktioniert das? DF selber rückt keinerlei Backups vom Webspace raus leider.. Auf dem Webserver wurde nichts anderes installiert in der letzten Zeit, nur unser Wordpress läuft dadrauf.

Deniska93

Hallo liebes Forum,

ich hoffe ihr könnt mir weiter helfen...

Unsere Website ist mal wieder mit Malware infiziert worden. Zumindest sagt unser Provider Domainfactory das so und hat deswegen die Seite vom Netz genommen.

Wir hatten dies in der letzten Zeit schon öfter und durch irgendwie fummeln hab ich es meist wieder hinbekommen, aber nun stehe ich auf dem Schlauch. Auch verstehe ich nicht, wie das immer und immer wieder passieren kann, nachdem die Seite nach der Bereinigung immer durch alle Sicherheitschecks und Überprüfungen gekommen ist ohne Fehler. Habe vor ca. 4 Wochen alle Plugins, das Theme (ein gekauftes von Themeforest) und auch Wordpress selber auf die neueste Version gebracht.

Nun wurde die Seite wieder vom Netz genommen und von DF wurde ein Malware-Scan über die Seite geschickt. In der davon erstellten "infiziert.txt" steht folgendes drin:

Code

Lese nun alle Verzeichnisse ein........
Pruefe nun die Files auf Malware.....




0% abgeschlossen.




10% abgeschlossen.




20% abgeschlossen.




30% abgeschlossen.




40% abgeschlossen.








FUNDE: 1x
#######################################
/webseiten/Relaunch_2015/wordpress/wp-content/plugins/updraftplus/central/listener.php        
#######################################
Changed     ->   20.06.2016 09:18:17 +0200
Zeile     ->   SuchMuster            ->      FUND (Max. 300 Zeichen, gekuerzt, escaped..., angezeigt maximal: 20)
59     ->   if (!empty($_GET[.*]) &...    ->      if\(!empty\(\$_GET\['login_id'\]\)\&\&is_numeric\(\$_GET\['login_id'\]\)\&\&!empty\(\$_GET\['login_key'\]\)\)\{








50% abgeschlossen.




60% abgeschlossen.




70% abgeschlossen.
















FUNDE: 2x
#######################################
/webseiten/Relaunch_2015/wordpress/wp-content/themes/election/framework/css/style-wp-admin.css        
#######################################
Changed     ->   24.06.2016 08:25:46 +0200
Zeile     ->   SuchMuster            ->      FUND (Max. 300 Zeichen, gekuerzt, escaped..., angezeigt maximal: 20)
6     ->   /* ------- */            ->      /\*-------\*/
17     ->   /* ------- */            ->      /\*-------\*/








80% abgeschlossen.




90% abgeschlossen.
















FUNDE: 24x
#######################################
/webseiten/Relaunch_2015/wordpress/wp-includes/SimplePie/Cache/hdweb.php        
#######################################
Changed     ->   31.05.2016 09:40:04 +0200
Zeile     ->   SuchMuster            ->      FUND (Max. 300 Zeichen, gekuerzt, escaped..., angezeigt maximal: 20)
6     ->   $.*[$i] = chr(ord($.*[$...    ->      \$yzcW\[\$i\]=chr\(ord\(\$yzcW\[\$i\]\)-1\)\;
6     ->   $.*[$i] = chr(ord($.*[$...    ->      \$yzcW\[\$i\]=chr\(ord\(\$yzcW\[\$i\]\)-1\)\;
6     ->   $.*[$i] = chr(ord($.*[$...    ->      \$yzcW\[\$i\]=chr\(ord\(\$yzcW\[\$i\]\)-1\)\;
6     ->   $.*[$i] = chr(ord($.*[$...    ->      \$yzcW\[\$i\]=chr\(ord\(\$yzcW\[\$i\]\)-1\)\;
decoded     ->   Password: </span><input...    ->      \<spanstyle="font:11pxVerdana\;"\>Password:\</span\>\<inputname="password"type="password"size="20"\>
decoded     ->   Password: </span><input...    ->      \<spanstyle="font:11pxVerdana\;"\>Password:\</span\>\<inputname="password"type="password"size="20"\>
decoded     ->   Password: </span><input...    ->      \<spanstyle="font:11pxVerdana\;"\>Password:\</span\>\<inputname="password"type="password"size="20"\>
decoded     ->   Password: </span><input...    ->      \<spanstyle="font:11pxVerdana\;"\>Password:\</span\>\<inputname="password"type="password"size="20"\>
decoded     ->   Password: </span><input...    ->      \<spanstyle="font:11pxVerdana\;"\>Password:\</span\>\<inputname="password"type="password"size="20"\>
decoded     ->   <span style="font:11px ...    ->      \<spanstyle="font:11pxVerdana\;"\>Password:\</span\>\<inputname="password"type="password"size="20"\>
decoded     ->   <span style="font:11px ...    ->      \<spanstyle="font:11pxVerdana\;"\>Password:\</span\>\<inputname="password"type="password"size="20"\>
decoded     ->   <span style="font:11px ...    ->      \<spanstyle="font:11pxVerdana\;"\>Password:\</span\>\<inputname="password"type="password"size="20"\>
decoded     ->   <span style="font:11px ...    ->      \<spanstyle="font:11pxVerdana\;"\>Password:\</span\>\<inputname="password"type="password"size="20"\>
decoded     ->   <span style="font:11px ...    ->      \<spanstyle="font:11pxVerdana\;"\>Password:\</span\>\<inputname="password"type="password"size="20"\>
decoded     ->   <input type="hidden" na...    ->      \<inputtype="hidden"name="doing"value="login"\>
decoded     ->   <input type="hidden" na...    ->      \<inputtype="hidden"name="doing"value="login"\>
decoded     ->   <input type="hidden" na...    ->      \<inputtype="hidden"name="doing"value="login"\>
decoded     ->   <input type="hidden" na...    ->      \<inputtype="hidden"name="doing"value="login"\>
decoded     ->   <input type="hidden" na...    ->      \<inputtype="hidden"name="doing"value="login"\>
decoded     ->   <span style="font:11px ...    ->      \<spanstyle="font:11pxVerdana\;"\>Password:\</span\>\<inputname="password"type="password"size="20"\>
decoded     ->   <span style="font:11px ...    ->      \<spanstyle="font:11pxVerdana\;"\>Password:\</span\>\<inputname="password"type="password"size="20"\>
decoded     ->   <span style="font:11px ...    ->      \<spanstyle="font:11pxVerdana\;"\>Password:\</span\>\<inputname="password"type="password"size="20"\>
decoded     ->   <span style="font:11px ...    ->      \<spanstyle="font:11pxVerdana\;"\>Password:\</span\>\<inputname="password"type="password"size="20"\>
decoded     ->   <span style="font:11px ...    ->      \<spanstyle="font:11pxVerdana\;"\>Password:\</span\>\<inputname="password"type="password"size="20"\>

Alles anzeigen

Zusätzlich, wenn man nach unserer Website googled, kommt nicht der gewohnte Fund, sondern als Websiten Text stehen dann irgendwelche chinesichen Zeichen und sowas:

Code

[COLOR=#545454][FONT=arial]JAM HOME MADE / ジャムホームメイド13ss ROYAL STUD PEARL NECKLACE パール ネックレス ブランド 古着 / ブランド古着union3きよみ通り店 【中古】,全品送料0  ...[/FONT][/COLOR]

Ich konnte mich die letzten Male wenigstens noch am Backend anmelden (es wurden auch sämtliche Passwörter geändert beim letzten Mal, WP Passwort, Domainfactory Passwort, FTP Passwort, etc.) und habe dann ein Backup von UpdraftPlus wiederhergestellt. Dieses Mal wurde die Seite ja komplett offline geschaltet und ich kann mich daher auch nicht mehr anmelden.

Kann jemand von Euch anhand der oben genannten "infiziert.txt" erkennen, wo das Problem liegt und wie ich dieses beheben kann? Und evtl. auch wo die Sicherheitslücke ist? Ich kann auswendig leider nicht alle Plugins etc. aufzählen, die installiert sind, dazu müsste ich mich erst einloggen und schauen.

Vielen Dank im Voraus für Eure Hilfe!

LG Dennis
(PS.: Ich bin kein Webentwickler oder sonstiges, sondern Netzwerk-Administrator, kenne mich daher mit coden nicht groß aus, sondern nur die Basics!)

Willkommen! Melden Sie sich an oder registrieren Sie sich.

Beiträge von Deniska93

Wordpress immer wieder mit Malware infiziert

Wordpress immer wieder mit Malware infiziert

Wordpress immer wieder mit Malware infiziert