Opfer eines SEO-Poisoning-Angriffs geworden – was steckt dahinter und wie spürt man das auf?

Logg dich per SSH auf den Server ein und teste die Seite mit curl, indem du den User-Agent vom Googlebot mitgibst. Wenn du dich im Terminal als Crawler ausgibst, siehst du im HTML-Code direkt die Weiterleitungs-Skripte und die injizierten Spam-Links. Meistens hängt ganz oben in der wp-blog-header oder index.php ein verschleierter Einzeiler-Include.

Edit: Ich habe vom Handy geschrieben, entschuldigt die Tippfehler.

Geht als allererstes in die Search Console und nutzt das URL-Prüftool bzw. die Entfernungsfunktion. Sucht gezielt nach den Mustern mit den seltsamen Schriftzeichen und lasst die aus dem Cache und Index kicken, sonst landet die Domain ruckzuck auf der Blacklist.

Verlasst euch bloß nicht nur auf Dateiscans. Die Burschen richten meistens Cronjobs auf dem Server ein. Du löschst die Datei, um Mitternacht feuert der Cronjob und zieht sich genau dasselbe PHP-Skript wieder von extern nach. Ohne die Cronjobs auszumisten, werdet ihr das nie los.

hatten wir letztes jahr auch haben uns zwei wochen lang dumm und dusselig gesucht. am ende wars ne lücke in nem uralten formular-plugin worüber die direkt in die db geschrieben haben. hat erst aufgehört nachdem das plugin runterflog und wir ein sauberes datenbank-backup eingespielt hatten.

Bei unserem Lebensmittel-Großhandelsshop wurden über Nacht 24.000 Spam-URLs indexiert. Wir haben zwar alles bereinigt, aber bis die Suchergebnisse bei Google wieder komplett sauber waren und wir unsere alten organischen Rankings zurückhatten, vergingen ganze 5 Monate.

Nutzt ihr ein Shared-Hosting-Paket oder einen dedizierten Cloud-Server? Falls ihr auf einem Shared-Server liegt: Könnte es sein, dass sie über eine Sicherheitslücke eines völlig fremden Kunden auf demselben Server in eure Verzeichnisse übergesprungen sind?

Der Angriff läuft im Grunde in drei Schritten ab: Zuerst verschafft man sich über eine Sicherheitslücke in einem veralteten Theme oder Plugin Zugriff. Im zweiten Schritt werden den Suchmaschinen Tausende mit Spam-Keywords vollgestopfte, virtuelle Seiten untergejubelt. Im dritten Schritt werden echte Nutzer, die über diese Keywords reinkommen, auf die manipulierten Zielseiten weitergeleitet.

Bei der Bereinigung gibt es vier Pflichtschritte, die keinesfalls ausgelassen werden dürfen: 1) Sämtliche Passwörter der Datenbank-Benutzer erneuern, 2) Die Sicherheitsschlüssel (Salt Keys) zurücksetzen, 3) Ausführbare PHP-Dateien im Upload-Ordner löschen, 4) Die serverseitigen Access-Logs analysieren und das ursprüngliche Einfallstor schließen.

da hast du recht. also wenn wir ohne Messung entscheiden landen wir immer wieder am selben Punkt.

wer bei SEO-Poisoning hettzt stolpert alle an derselben Stelle. das war's entschuldige, wenn ich zu lang war.

nichts vergessen: Das allein zu versuchen ist der teuerste Weg.

die meisten Vorfälle beginnen nicht mit einer Schwachstelle sondern mit einem geleakten Passwort. wenn ihr das Ergebnis hier postet hilft es auch anderen.

das wsuste ich nicht.

ich möchte kurz warnen. übrigens bei uns war der größte Zeitfresser die Unklarheit darübr wer entscheidet.

wenn deien Situation anders ist ändert sich das natürlich.

Kurzfassung für Neueinsteiger: Maßnahmen ohne vorherige Bestandsaufnahme lassen die Türen offen, die man nicht sieht.

An deiner Stelle würde ich so vorgehen.

Bei uns war es so. Wenn ihr es zum ersten Mal macht fangt klein an, die Skalierung kommt später.

Bei uns war der größte Zeitfresser die Unklarheit darüber, wer entscheidet. naja an deiner Stelle würde ich so vorgehen.

ich stimme zu, möchte das sogar besodners betonen... scheut euch nicht zu fragen wer nicht fragt, zahlt am Ende mehr.

überstürzte Entscheidungen sind oft solche, die man sechs Monte später korrigieren muss... aus Erfahrung weiß ich das.

Da ist mir noch ein Punkt unklar. Scheut euch nicht zu fragen, wer nicht fragt, zahlt am Ende mehr.

Fehler auf der SEO-Poisoning-Seite sind meist rückgängig zu machen, aber teuer. Ich hoffe, das hilft dir weiter.

Meine Frage ist geklärt, vielen Dank. Bei uns war der größte Zeitfresser die Unklarheit darüber, wer entscheidet.

Wenn die Zwei-Faktor-Authentifizierung aktiv ist, reicht ein gestohlenes Passwort allein nicht aus.

Ich probiere es aus.