Auf meinem Server laufen unbekannte Prozesse, Hosting-Firma sagt 'bereinigen' — wo fang ich an?

bei mir war letztes Jahr genau dasselbe, die sind über einen WordPress-Plugin-Exploit reingekommen... hab damals mit wpdb Queries gemacht da war ein Admin-Account in der wp_users Tabelle angelegt. hab den Admin gelöscht, aber trotzdem war noch Shell-Code im Dateisystem eine bnc .jpg Datei war eigentlich eine ausführbare Datei... Hosting-Anbieter hat gesagt es ist vorbei...

Um die Webshell zu finden, führe diese Abfrage mit find aus: find /var/www -name '*.php' -newermt '3 months ago' | xargs file | grep 'PHP script'. Filtere die POST-Requests in den Access-Logs, besonders die File-Upload-Endpoints. Für den Vulnerability-Scan kannst du WPScan laufen lassen, aber vorher das Netzwerk zu isolieren ist kritisch. Check die siteurl und home URLs in der wp_options Tabelle in der DB, die könnten verändert worden sein.

Wow das ist echt übel. Naja du scheinst ziemlich in Panik zu sein. Das Erste was du wirklich tun solltest ist ein Backup machen danach Plugins und Themes einzeln deaktivieren. Geh ins WP Admin, check die User. Vielleicht haben sie einen neuen Admin-Account gefunden. Dann installier ein Security-Plugin und aktualisier WP. Wenn du nach einer Weile wieder Probleme hast, dann kontaktier den Hosting-Anbieter.

Denk dran, dass du eine Cybersecurity-Untersuchung machst: Schritt 1) Netzwerk-Traffic stoppen, 2) System-Snapshot erstellen, 3) Schwachstellen finden (Web Shell, Datenbank-User, Cron Job), 4) Eindringmechanismus feststellen (welches Plugin, welches Konto, wann), 5) Löschen und Wiederherstellung. Bei WordPress passiert das meistens wegen fehlender Plugin-Updates oder schwachen Passwörtern. Letzte Woche hatten wir einen ähnlichen Fall bei einer Seite, das Datenbank-Passwort war in wp-config.php hardcoded, phpMyAdmin war offen...

Kam mir etwas komisch vor, sagt dir der Hosting-Anbieter sofort Bescheid wenn es schädlichen Code gibt? Die haben es also auf ihren Systemen erkannt. Wenn du dich noch per SSH einloggen konntest, heißt das, du hast noch Zugriff... Konntest du auch in die Datenbank schauen? Ist der Exploit also noch aktiv, oder haben sie die Shell nur vergessen? Wann hast du zuletzt ein Backup gemacht? Wenn du den Restore-Weg gehen willst kannst du von einem alten Backup wiederherstellen?

oh nein WordPress-Hacking... das ist echt schlimm. aber mach es einfach: geh zum letzten Bckup zurück. mysql und Dateien wiederherstellen. dann alles updaten bei wp. dann ist es richtig sauber. lass auch mal den Hosting-Anbieter drüber schauen.

Danke, genau die Antwort die ich gesucht habe. Vergessene Testumgebungen sind häufiger das Einfallstor als das Live-System.

Korrigiert mich, falls ich falsch liege.

Ich möchte kurz warnen. Bei uns war der größte Zeitfresser die Unklarheit darüber, wer entscheidet.

Wenn du zu einem Thema drei verschiedene Antworten bekommst, war die Frage falsch gestellt. Viel Erfolg.

Gespeichert.

Beim Lesen dieser Antwort war ich erleichtert es liegt also nicht nur an mir. Kein Prozess ohne Dokumentation verbessert sich weil man nicht weiß, was man verbessern soll.

Das wars entschuldige wenn ich zu lang war.

Du hast recht. Wenn der Benachrichtigungsweg lang ist, kommen keine Benachrichtigungen; keine Benachrichtigung bedeutet spät erkannte Vorfälle.

An deiner Stelle würde ich so vorgehen.

Die obige Antwort bringt es auf den Punkt. Das allein zu versuchen, ist der teuerste Weg.

Wenn deine Situation anders ist, ändert sich das natürlich.

Meine Frage ist geklärt, vielen Dank.

Das wusste ich nicht.

Genau so, und das ist zudem kaum bekannt. Wenn man Fehlalarme anschreit, meldet sich danach niemand mehr.

Du hast recht, ich bin denselben Weg gegangen. Wenn die Zwei-Faktor-Authentifizierung aktiv ist, reicht ein gestohlenes Passwort allein nicht aus.

Schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.

Ich habe keinerlei Erfahrung mit mein server hat einen virus, deshalb frage ich. Änderungen an Zahlungsdaten werden niemals über den Kanal bestätigt, über den sie eingehen.

Wenn es jemand anders macht, würde mich das auch interessieren.

Du hast recht. Menschen verteidigen nicht den Prozess, sondern die Gewohnheit. Der Widerstand kommt daher.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.