Ungewollte Werbung

gruenekannetee · 7. Oktober 2017

Hallo,

meine Website zeigte
gestern ungewollte Werbung an.

Ich habe das Webserver Verzeichnis dann sofort mit einem
Passwortschutz belegt und eine der letzten Sicherungen in einem
anderen Verzeichnis zurück gesichert. Ich habe danach in der
Datenbank Einträge gefunden, die einen Link zu akamaihd.net
enthalten.

Ich wüsste nun
gerne, was die Ursache für diese Einträge ist.

Gelesen habe ich,
dass diese Links von einer Malware beim Speichern eines Beitrags über
den Browser mit in die Datenbank gespeichert werden können. Dies
schließe ich aus. Es gibt nur einen Benutzer im System. Das habe ich
überprüft. Diese Nutzer ist sich sicher, dass sein Rechner sauber
ist.

Was ich auch noch
gemacht habe: Ich habe alle Dateien der Website nac dem Begriff
„akamaihd.net“ abgesucht. Einen solchen Eintrag habe ich nicht
gefunden.

Ich würde mich
freuen, wenn mir hier jemand einen Tipp zur weiteren Suche geben
könnte.

Sieger66 · 7. Oktober 2017

Zitat von gruenekannetee

Es gibt nur einen Benutzer im System. Das habe ich
überprüft. Diese Nutzer ist sich sicher, dass sein Rechner sauber
ist.

Wenn alle "Rechner" wirklich sauber sind dann gibt es z.B. ja wohl vor allem folgende mögliche "Eingänge" :

Dein Joomla ist gehackt weil z.B.:

Joomla oder eine Erweiterung oder eine andere Anwendung die du auf dem Webserver betreibst hat eine Sicherheitslücke oder

der Server deines Webhosters hat eine Sicherheitslücke oder ...

Eventuell nützlich:

Mein Joomla wurde gehackt! Was kann ich tun?

Gehackte Webseiten - Erkennen, Bewerten, Bereinigen

und wenn dir das noch nicht genügt:

https://forum.joomla.de/index.php/Search/?q=Hack

https://forum.joomla.de/index.php/Search/?q=Schadcode

kitepascal · 7. Oktober 2017

Hast du mal in die Logdateien geschaut?

Das ist bei der Analyse eines Hacks unumgänglich/am wichtigsten.

Gruß

Pascal

gruenekannetee · 8. Oktober 2017

Vielen Dank für eure Antworten.

Aktuell ist es Gott sei Danks so, dass unsere Beitragstexte nicht mehr verändert werden. Ich habe über das Wochenende mehrmals die Datenbank exportiert und nach Skript Tags durchsucht.

Zitat von Sieger66

Eventuell nützlich:

Die Tipps habe ich soweit durchgearbeitet. Das meiste hatte ich vorher schon versucht. Mangels Erfahrung suche ich aber wohl nicht richtig. Es muss ja etwas da sein, sonst wären die "bösen" Texte nicht in unseren Beiträgen. Ich habe alles noch lokal auf meinem Rechner. So habe ich noch Zeit zum Suchen.

Zitat von kitepascal

Hast du mal in die Log-Dateien geschaut?

Ja, die das Error-Log und das Access-Log habe ich mir angeschaut. Ich habe hier nichts Auffälliges gefunden. Ist es in Joomla! möglich per Post eine Änderung in der Datenbank vorzunehmen? Würde das nicht nur über eine eingeschleuste Datei gehen?

kitepascal · 8. Oktober 2017

Entweder über das Backend (unwahrscheinlich, wenn es nie unbekannte Admin User gab und sichere Passwörter gesetzt sind) oder über eine Schaddatei.
Log Einträge müsste es dazu in jedem Fall geben. Manchmal reichen die nicht weit genug zurück, dann stehen die Chancen natürlich schlecht das Ganze aufzuklären.

89hf4edc · 9. Oktober 2017

Ich finde das immer "super", wenn Anwendern, die schon sagen, dass Sie keine Erfahrung haben, so unspezifische Tipps "hingeschmissen werden", wie "schau mal im Logfile", ohne was zu erklären...

kitepascal · 9. Oktober 2017

Weitere Ausführungen hinsichtlich der Analyse, ein Link zu einem kleinen Tool und ein Angebot mal selbst drüber zu schauen hatte ich gruenekannetee per PN geschickt.

JoomlaWunder · 9. Oktober 2017

Zitat von 89hf4edc

Ich finde das immer "super", wenn Anwendern, die schon sagen, dass Sie keine Erfahrung haben, so unspezifische Tipps "hingeschmissen werden", wie "schau mal im Logfile", ohne was zu erklären...

In manchen Fällen ist es lediglich möglich, einen Denkanstoß zu geben. Eine Erklärung, wie man eine vernünftige Analyse macht, würde wohl den Rahmen sprengen. Da muss sich jeder selbst einarbeiten.

SniperSister · 9. Oktober 2017

Zitat von kitepascal

Weitere Ausführungen hinsichtlich der Analyse, ein Link zu einem kleinen Tool und ein Angebot mal selbst drüber zu schauen hatte ich gruenekannetee per PN geschickt.

Ich habs dir ja gerade schonmal per PN geschrieben, aber doppelt hält besser: der Sinn eines Supportforums ist die öffentliche Problemlösung damit andere Nutzer mit der gleichen Fragestellung direkt die passende Antwort finden können - das geht bei PNs naturgemäß schwieriger.

Es wäre also schön, wenn du die Perlen deiner Weisheit hier der Allgemeinheit zur Verfügung stellen könntest anstatt sie per PN zu verschicken - angenehmer Nebeneffekt: der Verdacht eines möglichen Interessenkonflikts verschwindet.