1. Herzlich willkommen bei WPDE.org, dem grössten und ältesten deutschsprachigen Community-Forum rund um das Thema WordPress. Du musst angemeldet oder registriert sein, um Beiträge verfassen zu können.
    Information ausblenden

Viren-PHP überall, woher kommen sie, was kann man tun?

Dieses Thema im Forum "Allgemeines" wurde erstellt von Jaro89, 1. September 2015.

Schlagworte:
  1. Jaro89

    Jaro89 Member

    Registriert seit:
    1. September 2015
    Beiträge:
    9
    Zustimmungen:
    0
    Hallo Leute,

    ich habe kürzlich von meinem Hoster eine E-Mail erhalten, dass auf meinen webspace eine schadhafte Datei hochgeladen wurde. Diese Datei habe ich sofort gelöscht. Nachdem ich per FTP nun mal JEDES Verzeichnis meiner WP-Installation durchgegangen bin, ist mir aufgefallen, dass in etlichen Ordnern .php Dateien liegen, die dort nicht hingehören.

    Alle dieser Dateien geben vor, dass sie Ende 2014 erstellt wurden und haben z.B. folgende Namen:

    • alias10.php
    • user98.php
    • include.php
    • dirs22.php
    • general32.php
    • system.php
    • system63.php
    • functions20.php
    • utf.php

    Ich habe jetzt alle Dateien (und es waren deutlich mehr als oben aufgezählt) von Hand gelöscht.

    Ich habe vorsorglich mein DB-Kennwort, mein FTP-Kennwort und die Kennwörter aller User geändert (ich hatte schon vorher sehr sichere und lange Kennwörter).

    Wie kann es jemand schaffen, diese Dateien dort zu platzieren? Was kann ich tun, damit das nicht wieder passiert? Muss ich, außer der Kennwörter noch etwas ändern oder kann es noch irgendwo anders zu Schaden gekommen sein?

    Vielen Dank im Voraus!

    Jaro
     
    #1 Jaro89, 1. September 2015
  2. Monika

    Monika Well-Known Member
    Ehrenmitglied

    Registriert seit:
    4. Juni 2005
    Beiträge:
    14.126
    Zustimmungen:
    2
    ist dein System uptodate?

    WP Version
    Theme
    Plugins

    und für sonst noch vieles brauchst einen Profi....
    der findet die Lücke wo die reingekommen sind und dann kann man die schließen...
     
    #2 Monika, 1. September 2015
  3. Jaro89

    Jaro89 Member

    Registriert seit:
    1. September 2015
    Beiträge:
    9
    Zustimmungen:
    0

    Hallo Monika,

    • Meine WP-Version ist immer brandaktuell, da ich da sehr auf Aktualität bedacht bin.
    • Aktuell 4.3 aber das muss auch schon die letzten beiden Versionen gewesen sein
    • Als Theme benutze ich RT-Theme 17
    • Plugins: All In One SEO Pack, ARForms, Contact Form 7, Easy Table, Flexible Map, Google XML Sitemaps, Hover Image, iframe, List category posts, Really Simple CAPTCHA, Revolution Slider, Toggle box, Wordfence Security, WP-CleanUmlauts2, wpMAPS
    • Ich habe mehrere Seiten, auf fast allen dasselbe Setup (Theme und Plugins) und bei keiner anderen Seite hatte ich einen solchen Angriff

    Hast Du anhand der genannten Daten eine Idee?

    Vielen Dank im Voraus!

    Jaro
     
    #3 Jaro89, 1. September 2015
  4. Monika

    Monika Well-Known Member
    Ehrenmitglied

    Registriert seit:
    4. Juni 2005
    Beiträge:
    14.126
    Zustimmungen:
    2
    also dürfte Wordfence Security
    nicht viel Security anbieten oder?

    wozu ein Plugin für Umlaute => das brauchst schon ewigst nicht mehr

    die anderen Plugins rufe deren Site auf wordpress.org auf und schau wie aktuell die sind...
     
    #4 Monika, 1. September 2015
  5. Jaro89

    Jaro89 Member

    Registriert seit:
    1. September 2015
    Beiträge:
    9
    Zustimmungen:
    0
    Vielen Dank schon mal für die Hinweise!

    Passt der Begriff sql-injection dazu oder ist das eine ganz andere Baustelle? Können per sql-injection solche Dateien erzeugt werden?
     
    #5 Jaro89, 1. September 2015
  6. Monika

    Monika Well-Known Member
    Ehrenmitglied

    Registriert seit:
    4. Juni 2005
    Beiträge:
    14.126
    Zustimmungen:
    2
    :) wenn ich jetzt ja oder nein schreibe gebe ich indirekt einen Hinweis für einen Hacker :)
     
    #6 Monika, 1. September 2015
  7. Presskopp

    Presskopp Well-Known Member

    Registriert seit:
    18. März 2011
    Beiträge:
    859
    Zustimmungen:
    0
    @Monika: Ein 'richtiger' Hacker braucht deinen Hinweis in einem Subforum wohl kaum. Und einer, der es werden will, wird auch nicht davon aufgehalten, wenn Du die Information verschweigst. Du verlinkst ja nicht auf ein rootkit-framework oder sowas :) Jaro möchte halt wissen, was er falsch gemacht oder nicht beachtet hat (richtig, Jaro?) und möchte das Problem verstehen. Kann ich soweit gut nachvollziehen.
     
    #7 Presskopp, 1. September 2015
  8. r23

    r23 Well-Known Member

    Registriert seit:
    9. Dezember 2006
    Beiträge:
    7.361
    Zustimmungen:
    589
    Wenn die Scripte in dem verzeichnis ~/uploads/ waren solltest du verhindern, dass PHP Scripte dort ausgeführt werden können.

    also

    http://example.org/wp-content/uplodas/2015/09/script.php

    darf nicht funktionierten - bitte den Link nicht mit Schadsoftware ausprobieren, da dur dir dann vermutlich einen Trojana installierst.

    erstelle dir zur prüfung eine php_info.php Datei

    mit
    PHP:
    Entschuldige, aber du musst dich registrieren oder anmelden um den Inhalt sehen zu können!
    wp-content/uplodas/2015/09/php_info.php

    sollte dein Browser, die die Konfiguration von PHP zeigen, solltest du unbedingt verhindern, dass PHP Scripte dort ausgeführt werden.


    Wenn dein Angreifer dir in das /uplaod/ Verzeichnis dateinen hochladen konnte, dann konnte er dies auch in den andeen Verzeichnissen.

    ich würde die alte Version vom Server löschen

    alles ausser
    ~/wp-content/uploads/
    ~/wp-config.php

    und dass was ich nicht gelöscht habe - auf Viren / schadecode prüfen

    und eben eine saubere Datensicherung hochladen.

    danach ein updates von
    plugins, wordpress und theme machen.

    Viel Glück

    Ralf
     
    #8 r23, 1. September 2015
    Zuletzt bearbeitet: 1. September 2015
  9. Brawler

    Brawler Gast

    Hallo,

    die Ursache ausfindig zu machen benötigt etwas Erfahrung und Serverzugriff.

    Hier ein kleiner (und aktueller) Artikel: https://blog.sucuri.net/2015/08/ask-sucuri-how-did-my-wordpress-website-get-hacked-a-tutorial.html

    Solange Dein System nicht vollständig und nachhaltig bereinigt ist, bringt eine Änderung der Passwörter leider nicht viel.

    XSS-Attacken sind nach wie vor möglich und vorhanden - ein Dankeschön an die Plugin-Authoren. ;) Immerhin reagieren die Renommierten sehr zeitnah (u. a. wpSEO, Yoast, Gravity Forms usw.).

    Teste Deine Instanz ggf. mal mit dem Plugin von Sucuri: https://wordpress.org/plugins/sucuri-scanner/
     
    #9 Brawler, 1. September 2015
  10. Tubedesigner

    Tubedesigner Well-Known Member

    Registriert seit:
    24. April 2015
    Beiträge:
    2.048
    Zustimmungen:
    2
    Ist schon ewig nicht mehr aktualisiert worden, Support wohl eingestellt, vielleicht mal da ansetzen...
     
    #10 Tubedesigner, 1. September 2015
  11. TobiasHeuken

    TobiasHeuken Well-Known Member

    Registriert seit:
    4. Juni 2006
    Beiträge:
    105
    Zustimmungen:
    0
    Moin

    am besten alle Verzeichnisse und Dateien löschen - bis auf

    /wp-content/
    wp-config.php

    Eine saubere WordPress-Installation herunterladen und Dateien neu einspielen; ebenfalls das Theme aktualisieren und auf Schwachstellen prüfen. Im Server-Konfig prüfen, ob es weitere FTP-Zugänge gibt; alle Passwörter mit der Maximalanzahl an Zeichen versehen, so kryptisch wie nur eben möglich; am besten mit einem Passwortgenerator (ich benutze seit Jahren den TWPassgen -> http://www.wenzlaff.de/twpassgenhilfe.html)

    PlugIns wie WP Antivirus (https://pluginkollektiv.github.io/antivirus/) scannen den Blog 1x täglich, ob sich am Theme etwas verändert hat, ob dort jemand Änderungen vorgenommen hat.
     
    #11 TobiasHeuken, 2. September 2015
  12. Jaro89

    Jaro89 Member

    Registriert seit:
    1. September 2015
    Beiträge:
    9
    Zustimmungen:
    0
    Schon mal vielen Dank für Eure Hinweise!!!

    Zusammen mit ein paar Leuten, die mehr Erfahrung haben als ich, konnten wir feststellen, dass es eine IP aus RIGA war, nach kurzer Recherche festgestellt, dass diese IP schon öfter wegen Hacking, SQL-Injection etc. reported wurde.

    Nachdem wir die Logfiles des Servers gecheckt haben konnten wir mit relativ großer Wahrscheinlichkeit die Lücke ausmachen - Es war das Plugin Revolution Slider. Am 17.07. muss der Angriff gewesen sein, allerdings kam erst ein paar Tage später ein neues Update des Plugins. Ich weiß leider gerade nicht mehr, welche Version ich hatte, da ich dieses Plugin vorsorglich gänzlich gelöscht habe.

    Ich habe nun alle Dateien dieser Art gelöscht, alle Kennwörter (Datenbank, FTP, WP-User) geändert und die Wordpress Dateien mit Originaldateien abgeglichen. Jetzt scheint alles clean zu sein.

    Die infizierten Dateien haben dem Code nach den Anschein gemacht, dass die nichts zerstören sollten. Vielmehr haben die Dateien den Auftrag gehabt, weitere Daten von eben dieser einen IP-Adresse nachzuladen. Wahrscheinlich also irgendwie phishing oder ähnlich.

    Ich werde das mal weiter beobachten, bis jetzt sieht es aber ganz gut aus.

    Zusätzlich habe ich einige der Plugins gelöscht um die Angriffsfläche möglichst zu verringern ...

    VG
    Jaro
     
    #12 Jaro89, 2. September 2015
    Zuletzt bearbeitet: 2. September 2015
  13. Jaro89

    Jaro89 Member

    Registriert seit:
    1. September 2015
    Beiträge:
    9
    Zustimmungen:
    0
    Hallo Ralf, vielen Dank für den Hinweis. Jetzt mal blöd gefragt: Wenn ich alle außer der von dir genannten Ordner von WP lösche und eine neue Installation davon hochlade. Funktioniert die Seite danach noch ganz normal? So wie sie vorher aussah?

    VG
    Jaro
     
    #13 Jaro89, 2. September 2015
(Du musst angemeldet oder registriert sein, um Beiträge verfassen zu können. )
  1. Diese Seite verwendet Cookies, um Inhalte zu personalisieren, diese deiner Erfahrung anzupassen und dich nach der Registrierung angemeldet zu halten.
    Wenn du dich weiterhin auf dieser Seite aufhältst, akzeptierst du unseren Einsatz von Cookies.
    Akzeptieren Weitere Informationen...
    Information ausblenden
  1. Diese Seite verwendet Cookies, um Inhalte zu personalisieren, diese deiner Erfahrung anzupassen und dich nach der Registrierung angemeldet zu halten.
    Wenn du dich weiterhin auf dieser Seite aufhältst, akzeptierst du unseren Einsatz von Cookies.
    Akzeptieren Weitere Informationen...
    Information ausblenden