WP 6.x Virenbefall

Das allgemeine Vorgehen bei einem Hack ist z.B. hier beschrieben, das könntest Du mit jemandem mit WordPress Erfahrung bei Dir im näheren Umfeld zusammen durchgehen. Jeden einzelnen Punkt.

Und wo die Inhalte im Customizers herkommen, kann man in der Browser Konsole im Netzwerk Tab sehen, das erleichert dann das weitere Nachvollziehen zumindest des sichtbaren Befalls.

Nach einem Hack ist jedoch alles auf dem Server inkl. Datenbank als kompromitiert zu betrachten. Das nachträgliche Entfernen einzelner Schadcodes oder Auswirkungen ist nicht ausreichend. Es können auch mehrere Hacks erfolgt sein, ggf. auch zu anderen Zeitpunkten.

 

Siehe auch https://wordpress.org/documentation/article/faq-my-site-was-hacked/

Falls es mit Englisch nicht so gut steht: https://www.deepl.com/de/translator

 

Eine manuelle Bereinigung der Website sieht vor, dass du

• das Verzeichnis wp-content/uploads auf deinem Computer sicherst und sehr sorgfältig auf Malware untersuchst. Auch harmlos aussehende Dateien mit Endungen wie .jpg oder .png können (statt Bildern) Skripte enthalten. Angreifer verstecken da gerne eine Backdoor, um sich nach einer Entfernung von Malware wieder einloggen und ihre Schadsoftware neu einstallieren zu können. Wenn du hier nicht sorgfältig arbeitest, fängst du nach ein paar Tagen von vorne an.
• eine Liste der verwendeten Themes und Plugins muss erstellt werden, um diese später wieder zu installieren. Die wp-config.php sollte auf fremde Skript (meistens mit base64_encode() verschlüsselt) geprüft und ebenfalls gesichert werden.
• du löschst ausnahmslos alles auf deinem Webserver, lädst WordPress, vorher notierte Theme(s) und Plugins aus dem WordPress-Verzeichnis herunter, entpackst sie und lädst alles auf deinen Server hoch. Die Datei https://downloads.wordpress.org/release/wordpress-6.5.5-no-content.zip enthält die aktuelle WordPress-Version ohne das Verzeichnis wp-content.
• danach lädst du die vorher gesicherte wp-config.php und das geprüfte(!) Verzeichnis wp-content wieder hoch.
• Über die Datenbankverwaltung deines Webhosters solltest du in der Datenbank-Tabelle wp_users prüfen, ob der Angreifer ein eigenes Administratoren-Account angelegt hat, das du natürlich löschen musst.

Der Vorgang kann mit dem kostenpflichtigen Skript WP Sweeper automatisiert werden.

Es ist eine gute Idee, auch von der manipulierten Website ein Backup zu machen, bevor du die oben genannten Schritte durchführst. Wie man im Rheinland sagt: Wat fott is, is fott (weg ist weg) – versehentlich zu viel gelöschte Daten lassen sich nicht wiederherstellen, wenn es kein Backup gibt.

Der komplette Vorgang ist recht aufwändig und damit kostenintensiv. Wenn du dich selbst eher als Einsteiger einstufst, wäre es eine gute Idee, das einem Fachmann (oder einer Fachfrau – es gibt ausgezeichnete WordPress-Spezialistinnen) zu überlassen.

 

Die Seite komplett neu aufbauen ist das sicherste.
Die Seite in html5 und die Gefahr einen Infiltrierung über Plugins wird unmöglich.

 

Es fehlt zudem mindestens noch die Prüfung und Bereinigung aller Inhalte in der kompletten Datenbank.

Und die als erster Schritt nötige vorherige Analyse der Log-Dateien zum Auffinden und Schliessen der Lücke, siehe auch Link in Antwort #2 oben.

 

Eine Bereinigung ist möglich nur mit Aufwand verbunden. Kundenseiten bereinigen wir deutlich schneller und kostengünstiger, da nicht alles mühselig über FTP läuft.