WordPress ist das am weitesten verbreitete CMS der Welt. Das bedeutet, dass seine Updates, Plugins und andere Tools im Vergleich zu anderen Plattformen mehr Unterstützung erhalten.
 
Da es bei weitem das am häufigsten verwendete CMS ist, ist es auch das am häufigsten angegriffene. Daher ist es recht häufig, auf eine infizierte WordPress-Installation zu stoßen.
 
Wenn wir eine veraltete Version von WordPress verwenden oder wenn eines unserer Plugins nicht vollständig auf dem neuesten Stand ist, können diese Sicherheitslücken enthalten. Infolgedessen kann bösartiger Code in unsere Website-Dateien injiziert werden.
 
Um unsere Website richtig zu analysieren, müssen wir zwischen den beiden Arten von Infektionen unterscheiden, die WordPress betreffen können:
 
Dateiinfektionen, normalerweise innerhalb des Themes oder der Plugins. Einige Dateiinfektionen verbreiten sich, andere nicht.
Datenbankinfektionen, die auftreten, wenn Malware direkt in die WordPress-Datenbank injiziert wird.
 
In diesem Leitfaden zeigen wir eine Reihe von Symptomen, die Ihre Website aufweisen kann, wenn sie infiziert wurde. Dies sind allgemeine Beispiele, da es viele verschiedene Arten von Infektionen gibt. Wir konzentrieren uns auf Dateiinfektionen, da diese viel häufiger und allgemeiner sind. Datenbankinfektionen werden besser von Fall zu Fall analysiert.
 
 
WICHTIG: Die vollständige Aktualisierung Ihrer Plugins garantiert nicht die Sicherheit des Hostings. Die Aktualisierung von WordPress und seinen Plugins minimiert diese Risiken und hilft, Infektionen durch bekannte Schwachstellen zu verhindern, garantiert jedoch keinen 100%igen Schutz vor Code-Injektion.
 
Infizierte Dateien
 
Lassen Sie uns zunächst erklären, wie infizierte Dateien erkannt werden. In vielen Fällen können sie bereits am Dateinamen identifiziert werden, der oft bedeutungslose und verdächtige Zeichen enthält. Es handelt sich häufig um .php-Dateien. Hier sind zwei Beispiele:
 
ffkoklhu.php
e6b6m5ju.php
 
Nicht alle infizierten Dateien sind so offensichtlich, da die Infektion in vielen Fällen in vorhandene Website-Dateien injiziert wird. Nachfolgend ein Beispiel für injizierten Code. Beachten Sie jedoch, dass Code und Infektionsarten stark variieren können. Hier ein Beispiel:
 
//ckIIbg
$nowHtacFile = base64_decode("Li8uaHRhY2Nlc3M=");
$nowIndexFile = base64_decode("Li9pbmRleC5waHA="); $bkLocalFileIndex1 = './wp-includes/images/smilies/icon_devil.gif';
$bkLocalFileHtac1 = './wp-includes/images/smilies/icon_crystal.gif';
$sitemap = base64_decode("Li9zaXRlbWFwLnhtbA==");
@unlink($sitemap);
 
In diesem Beispiel sehen wir die Verwendung von base64_decode und anderen zufällig aussehenden Namen (wie Li9pbmRleC5waHA oder //ckIIbg), die keinen legitimen Ursprung zu haben scheinen.
 
WICHTIG: Beachten Sie, dass die Änderung kritischer Website-Dateien deren Funktionalität beeinträchtigen kann. Wir empfehlen Vorsicht beim Entfernen von Codezeilen oder die Kontaktaufnahme mit einem Webentwickler zur Code-Überprüfung.
 
Sie können auch das folgende Google-Tool verwenden, um zu überprüfen, ob unsichere Inhalte auf Ihrem Hosting erkannt wurden:
 
 
Weiterleitung zu unerwünschten Seiten
 
Dies kann auftreten, wenn Sie versuchen, auf Ihre WordPress-Startseite zuzugreifen, oder wenn Sie auf interne Links klicken, die automatisch zu einer externen oder bösartigen Website weiterleiten.
 
Es ist sehr wahrscheinlich, dass eine Code-Infektion in einer Ihrer Website-Dateien vorliegt.
 
Wie behebt man das Problem: Wie oben erwähnt, ist diese Weiterleitung in den meisten Fällen auf eine direkte Code-Injektion in eine Webdatei zurückzuführen. Eine vollständige Dateianalyse muss durchgeführt werden, um den die Weiterleitung erzeugenden Code zu entfernen. Dateianalysetools können helfen, aber wenn sie die Infektion nicht erkennen, ist eine manuelle Code-Überprüfung erforderlich.
 
Wir empfehlen die Installation des Wordfence-Plugins, um Ihre Website regelmäßig zu scannen.
 
Bei cdmon stellen wir Backups der letzten 15 Tage zur Verfügung, damit Sie Ihre Website auf eine Version vor der Code-Injektion wiederherstellen können.
 
Spam-Indizierung bei Google
 
Es ist recht häufig, dass eine Website bei einer direkten Suche bei Google mit Spam-Inhalten angezeigt wird. Nachfolgend ein Beispiel für die Suche nach example.com:
 
 
Um schnell zu überprüfen, ob es sich nur um ein Google-Indizierungsproblem handelt, führen Sie dieselbe Suche in einer anderen Suchmaschine durch, z.B. Bing:
 
 
Wenn es nur bei Google auftritt, handelt es sich wahrscheinlich um ein Google-Indizierungsproblem. Greifen Sie in diesem Fall auf die Google Search Console zu und beantragen Sie eine Neuindizierung Ihrer Domain.
 
WICHTIG: Wenn dies bei allen Suchmaschinen auftritt, führen Sie eine vollständige Analyse der Webdateien und der Datenbank durch, um mögliche SEO-bezogene Code-Injektionen zu erkennen.
 
Website-Design wird nicht korrekt angezeigt
 
Dieses Symptom kann schwieriger zu erkennen sein, da Layout-Probleme auch durch Kompatibilitätsprobleme oder kürzliche Änderungen verursacht werden können.
 
Infektionen, die die Website-Anzeige beeinträchtigen, können stark variieren. Viele werden durch installierte Themes verursacht.
 
Themes, die von unzuverlässigen Quellen heruntergeladen wurden, können injizierten bösartigen Code enthalten.
 
Um dies zu beheben, überprüfen Sie die Webdateien und die Datenbank, um injizierten Code zu identifizieren, der die Fehlfunktion verursacht.
 
Wie können wir es verhindern? Von cdmon aus empfehlen wir die Installation der folgenden Plugins als vorbeugende Maßnahmen:
 
Wir empfehlen die Verwendung von TAC (Theme Authenticity Checker), das installierte Theme-Dateien scannt und verdächtigen Code erkennt:
 
Plugin-Informationsseite: https://wordpress.org/plugins/tac/
 
Wir empfehlen auch die Verwendung von Wordfence zur Analyse von Webdateien:
 
 
 
Automatisch erstellte WordPress-Benutzer
 
Manchmal können nicht autorisierte Benutzer im WordPress-Admin-Panel erscheinen. Nachfolgend ein Beispiel:
 
 
Empfehlungen: Aktualisieren Sie WordPress und die Plugins, führen Sie einen Sicherheitsscan durch und ändern Sie Ihr MySQL-Passwort.
 
Wenn Sie das MySQL-Passwort ändern, denken Sie daran, es in der Datei wp-config.php zu aktualisieren.
 
Webmail-Versand deaktiviert oder Spam-Kommentare
 
Wenn Ihre Website Spam-E-Mails versendet, kann das Anti-Spam-System von cdmon den webbasierten E-Mail-Versand vorübergehend deaktivieren.
 
Veraltete Kontaktformulare oder fehlende CAPTCHA-Validierung sind häufige Ursachen. Die Installation von reCAPTCHA und die Verwendung von Akismet können helfen, Spam zu verhindern.
 
Vorübergehende Hosting-Sperre
 
Gelegentlich kann beim Zugriff auf Ihre Website eine Sperrmeldung erscheinen:
 
 
Dies ist eine Nachricht von cdmon, was bedeutet, dass sie vom Server generiert wird.
 
Sie erscheint, wenn ein Dienst abgelaufen ist oder Malware auf Ihrem Hosting-Konto erkannt wurde. In solchen Fällen erhalten Sie eine E-Mail-Benachrichtigung mit weiteren Details.
 

Für weitere Informationen können Sie uns kontaktieren.