Das Problem ist:
Du weißt nicht, wieviele Hintertüren der Angreifer eingebaut und wie gut er sie versteckt hat.
Seite Sperren, sauberes Backup einspielen, Lücke schließen, Seite wieder freigeben.
Siehe auch diese Liste, da steht das nochmal etwas ausführlicher.
http://www.joomla-security.de/joomla-gehackt-was-tun.html
Bei all-inkl.com maö eine testinstallation erstellen, ob es dort auch passiert.
Du kannst dort eine Woche den space testen...
Wurden wirklich sämtliche Dateien auf dem Webspace vor dem "Restore" gelöscht ?
Insbesondere auch in Dateiordnern die nicht zur befallenen Joomla-Website gehören können Backdoors sein z.B.:
Zitat
Gerade wenn irgendwelche kaum öffentlich bekannte (Test-)Seiten betroffen sind, ist die Quelle des Ganzen oft eine benachbarte Installation (wo nichts vom Hoster beantstandet wird)!
Es müssen alle Joomla Installationen auf dem gleichen Webspace geprüft werden/sauber sein.
aus:
http://www.joomlaportal.de/joo…-hosters.html#post1614681
Außerdem:
https://www.fc-hosting.de/joomla/tips-joomla-gehackt.php
Befindet sich eine unsichere Erweiterung in der Joomla-Installation
Mein Joomla wurde gehackt! Was kann ich tun?
Welche Dateirechte(Zugriffsrechte) haben die Dateiordner und die Dateien auf dem Webspace ?
und zum Schluß weil wie so oft keine Details geliefert wurden:
ZitatAlles anzeigen
Gebt so viel Information bei wie möglich, bedenkt dass die Supporter nicht das sehen, was ihr vor euch seht.
Helft den Supportern, indem ihr möglichst einen Link zu dem Problem postet.
Besteht
der Verdacht das eure Seite gehackt wurde, bitte keinen ausführbaren
Link einstellen. Lasst in dem Fall das http:// und www. weg. (Die
Moderatoren haben das Recht, verdächtige Links zu löschen oder zu
entschärfen)
Gebt alle Angaben zu Versionen, Betriebssystemen, Erweiterungen, die ihr habt
Wenn eine Frage in mehreren Foren gestellt wird ist es ein Gebot der Fairness, diese Fragen zu verlinken (Crossposting)
Neue
Fragen, vor allem, wenn diese nicht vom Threadersteller kommen, nicht
in schon bestehende Threads posten (Kapern eines Threads), sondern einen
neuen eigenen Thread eröffnen.
Fragen sollen nur einmal gestellt werden, pushen ist unerwünscht.
Bedanke Dich mit dem Button "Danke, das ist hilfreich" bei den Antworten, die zur Lösung Deiner Frage beigesteuert haben.
aus:
ZitatAlles schon gemacht. Bin am verzweifeln. Habe die Seite schon dreimal aufgesetzt.
Alles schon gemacht?
Welche Lücke konntest du denn ausmachen, über die es der Angreifer immer wieder schafft die Kontrolle über deine Seite zu übernehmen?
Und Nein, diese schadhaften PHP-Dateien sind nicht die Lücke - die sind das Resultat der Lücke.
Das ist sehr unwahrscheinlich. Dass die User & Extensions gecheckt worden sind, setze ich mal voraus.
Bei Blackhat SEO Symptomen wären Script Injections in Beiträgen/Custom HTML Modulen etc. noch ein Thema.
Spätestens nach jeder Reinfektion lassen sich die aufgerufenen Backdoors über die Logs ausfindig machen.
Die Dateien schaust du dir an und durchsuchst das gesamte Dateisystem nach weiteren Vorkommen.
Einfach nur veränderte Dateien wiederherzustellen bringt nichts.
Ich gehe davon aus das nicht ordentlich bereinigt wurde. Scanner finden nie alle Dateien. Wenn ich mal reinschauen soll meld Dich einfach.
Wie geschrieben das Angebot steht jetzt. Denn ich habe nicht unendlich unendgeltlich Zeit.
Was haltet Ihr davon ? Diese IP versucht mit Get wie ein Wilder und später mit Post.
Wo kommt die directorypro.cgi her/wozu gehört die? Gibt's die überhaupt?
- Kein Joomla Ding..
Sollte normales Grundrauschen sein.
Ruf doch mal selbst so einen Link auf Deiner Seite auf und schau was passiert. Ich vermute eine scriptseitige Umleitung auf eine per Script erzeugte 404-Seite oder die Startseite des Webs etc.pp. Dann erkennt der Webserver keinen 404-Error und gibt Code 200 zurück.
Flotte du hast recht. 
So kurzes Feedback - wie der Stand ist. Website bleibt jetzt momentan sauber ( Mehrere Tage ). Habe kräftig Logs gelesen und ausgewertet. Großes Dankeschön an kitepascal. Die Ursache war ein nicht richtig deinstalliertes Plugin, welches man so mitschleift. Dadurch konnten die Angreifer sich ein Tor offen lassen. Habe sauberen Webspace genommen, Joomla neu installiert (nicht alte Version und dann upgedatet) sondern aktuellste Version. Datenbank von allen unnötigen Abfragen gesäubert und dann erst eingespielt. Danach Rechte auf dem Webspace ordentlich begrenzt.
Man will aber nicht den Tag vor dem Abend loben.
