WP Malware/Virus serverübergreifend?

Guten Tag,

vor ca. 3 Wochen hatte ich auf allen meiner WordPress Installationen einen Virus. Man wurde beim Aufrufen der Seiten immer auf Werbung weitergeleitet.
Ich ging wie folgt vor:

• WordFence installieren
• Scan: Alle gefunden Dateien entfernt und die headers "repairt" (also Code der Weiterleitung entfernen lassen)

Das hat jedoch nicht funktioniert. Ich habe mich dann entschlossen, alle Webseiten neu aufzusetzen. (Neue WP Installation)
Jetzt, ein paar Tage nachdem ich die Seiten komplett neu erstellt habe, werden wieder automatisch die header mit code versehen. Keine 5 Minuten nachdem ich ihn wieder entfernt habe, kommt er wieder. Die verschiedenen Scans zeigen nichts an, außer dem Code, sofern vorhanden und nicht von mir gelöscht.

Auf meinem Server befinden sich, noch von anderen Seiten, Installationen die verseucht sind. Ist es möglich, dass diese auf meine anderen Installationen übergreifen?
Ich kann mir nicht vorstellen, wie ein neuer Virus auf meine frischen Installationen kommen kann...

 

Hallo,
vielen Dank für deine Antwort.

Nulled (gehackte) Themes oder Plugins kann ich komplett ausschließen.
Das Übergreifende betreffend: Wenn ich alle (alten) befallenen Verzeichnisse lösche, ist es eventuell möglich, dass versteckte (?) Dateien zurückbleiben, welche man mit einem FTP Client nicht einfach so sieht?

Profis hatte ich bereits kontaktiert. Bei einem Preis von __€ pro Seite lohnt es sich für mich (leider) überhaupt nicht. Da wäre es sogar noch billiger, den Hoster zu wechseln.

Gibt es keine Möglichkeit, mittels eines Plugins (Firewall?) den erneuten Befall nach einem Scan (+ clean) zu verhindern?

 

Hallo FloRet!

Das sind wirklich nur reinie Hobbyprojekte - daher lohnt sich auch ein größerer, finanzieller Aufwand gar nicht..

Ich bin bei All-Inkl und verwende den Tarif "Premium".

Diesbezüglich habe ich nochmal alle Seiten, die auf diesem Webspace laufen, durchgesehen. In der Tat habe ich ein Projekt gefunden, bei welchem ich nicht zu 100% ausschließen konnte, dass dort die Themes genulled waren. (Daher vermutlich auch immer wieder meine anderen Projekte infiziert/"übergeschwabbt"?)

Ich habe anschließend die gesamte Installation des Projekts gelöscht und auf allen anderen Seiten das Plugin "GOTMLS" (Malware Scanner + Cleaner) installiert und gleichzeitig gestartet, sodass alle Installationen clean sind.

Das war heute gegen 10 Uhr. Seitdem habe ich keine Veränderungen der header.php's o.Ä. mehr festgestellt und auch Weiterleitungen wären mir aufgefallen.

Was mir jetzt aber noch Sorgen bereitet ist die Datei "tempotempl", die sich anscheinend immer wieder in meine Installation schleicht. Den Inhalt der Datei (202 byte) habe ich als Screenshot angefügt. Die URL welche im Code zu sehen ist, steht laut WordFence auf der "domain blacklist".