Joomla Hack - Komische Dateien

gabrielgn · 15. März 2016

Hallo Zusammen,

ich hoffe Ihr könnt mir helfen. Ich habe die Suche benutzt, aber es scheint bei jedem was anderes zu sein.
Ich bin gerade dabei meine Firmenseite aufzubauen und die Seite ist noch "offline". Nur das Login-Modul ist zu sehen. Die Seite läuft auf Joomla 3.3.3.

Meine Seite wurde gehackt, da ich auf dem FTP Verzeichnis zuerst komische Ordner gefunden habe (die Links zu irgendwelchen Videos beinhalteten). Nachdem ich diese gelöscht habe, finde ich jetzt ständig Dateien wie happy.php, day.php, fond.php und weitere 50 solcher Art.

Meine Fragen sind:
- was kann ich jetzt speziell hierfür tun, um die sch... wieder loszuwerden (idealerweise ohne Neuinstallation)
- Was kann ich generell tun um sowas zu verhindern? Gibt es empfehlenswerte Tools, Komponenten, etc... die helfen können?

Vielen Dank im Voraus!

Elwood · 15. März 2016

Also,

um sowas zu verhindern: immer die aktuellste Version haben. Im Moment 3.4.8.
Es bringt nichts, wenn eine gehackte Seite noch upgedatet wird.
Einzelnen Dateien entfernen bringt auch nichts, da im gesammten Root Schadcode vorhanden sein kann.

Und mit 3.3.3 bist du eh ein Kandidat für einen Hack.

Entweder ein sauberes Backup einspielen oder die Seite professionell bereinigen lassen.

Oder leider komplett neu aufsetzen mit 3.4.8.

Dabei den Webspace und die alte DB komplett löschen.

Joe Sixpack · 15. März 2016

Zitat

Was kann ich generell tun um sowas zu verhindern?

Joomla IMMER aktuell halten. Wir sind schon bei Version 3.4.8. Vor 3.4.5 gab es ganz massive und gefährliche Lücken, die dann schnell geschlossen wurde, sofern man das Update auch zeitnah aufspielte.

Auch ein "offline" Schalten schützt nicht.

Zitat

was kann ich jetzt speziell hierfür tun

Alles löschen, alle Passwörter ändern, PC säubern. Threads was zu tun ist gibt es zu Hauf. Welcher "Hack" das nun im Detail ist spielt keine Rolle, die Vorgehensweise ist immer gleich: Mein Joomla wurde gehackt! Was kann ich tun?

oder dann jemanden damit beauftragen, der sich damit auskennt.

Webworker Berlin · 15. März 2016

Ja da hilft nur mit System bereinigen und danach zu updaten. Vor allem ALLE befallenen Dateien bereinigen.

Sieger66 · 20. März 2016

Mein Joomla wurde gehackt! Was kann ich tun?

Könnte man fast schon als "Autoresponder" bei Hack oder Schadcode oder Fremdcode im Titel mit automatischem Eintrag "Thema ist gelöst" hier im Forum installieren.

und zusätzlich gleich auch noch als individuelle "Universallösung":

http://forum.joomla.de/index.p…lt/181225/?highlight=Hack
http://forum.joomla.de/index.p…1229/?highlight=Schadcode

Sowie die allumfassende rundumschlag Totallösungen:

http://forum.joomla.de/index.php/Search/

https://www.google.de/advanced_search?hl=de&authuser=0

Leider könnten wir dann nicht mehr über Hackfleisch, gehacktes Holz , Hackordnung, Hackentrick usw. im Titel schreiben ohne ...

flotte · 21. März 2016

Die Vorredner haben recht: Weg mit dem veraltets und gehackten Daten und neu anfangen.
Aber ich rate dennoch zu einer Analyse der FTP-Logs. Falls Dein FTP-ZUgang gegackt ist, kann Du installieren was Du willst, Du wirst immer wieder gehackt. Das MUSS also ausgeschlossen werden können.

Aligator13 · 21. März 2016

Zitat von gabrielgn

Ich bin gerade dabei meine Firmenseite aufzubauen und die Seite ist noch "offline". Nur das Login-Modul ist zu sehen. Die Seite läuft auf Joomla 3.3.3.

Es mag kleinlich sein und es wurde in 2 Beiträgen schon angesprochen, jedoch nicht die zeitliche Dringlichkeit hervorgehoben:

Es ist enorm wichtig, dass die Dateien so schnell wie möglich entfernt werden. Sinnvoll wäre z.B. das Aufsetzen eines XAMP in einer virtuellen Maschine auf Deinem PC. Die VM sollte nach Möglichkeit über keine Netzwerkanbindung verfügen.

Warum?
Die meisten Angreifer haben ja ein Ziel, welches sie mit der Infektion einer Webseite verfolgen. In den meisten Fällen ist das der Versand von Spam oder aber die Vergrößerung des Botnetzwerkes z.B. durch Brute-Force-Angriffe.

Dies schädigt nicht nur Deinen Hosting-Provider, sondern eben auch die Ziele dieser Angriffe. Auch wenn eine Joomla-Webseite in den Offline-Modus versetzt wird wären die hinterlegten Schadcodes noch aufrufbar bzw. ausführbar und somit "aktiv".

Also sollte das der erste Schritt sein - zumindest in meinen Augen.

Sieger66 · 21. August 2016

Da die beiden nachfolgenden Links aus meinem obigen post nach einiger Zeit nicht mehr gültig sind und ich sie (wegen der Zeitschranke) nicht editieren kann:

Zitat von Sieger66

und zusätzlich gleich auch noch als individuelle "Universallösung":

http://forum.joomla.de/index.p…lt/181225/?highlight=Hack
http://forum.joomla.de/index.p…1229/?highlight=Schadcode

versuch ich´s mal "timesave":

https://forum.joomla.de/index.php/Search/?q=Hack
https://forum.joomla.de/index.php/Search/?q=Schadcode