Wurde unsere WordPress-Seite gehackt oder spinnt nur ein Plugin, wie stellt man fest ob jemand im System ist?

Dass eure Kunden es sehen und ihr nicht, liegt am User-Agent- und Referer-Filtering. Der Schadcode in PHP liefert Direktaufrufern die völlig normale Seite aus, während Besucher über die Google-Suche oder fremde Websites direkt auf die Weiterleitung geschickt werden. Schaut euch mal die .htaccess und die index.php im Root-Verzeichnis an. Ganz oben werdet ihr versteckte Aufrufe wie eval, base64_decode oder Includedateien von externen Servern finden.

Um die Seite zu retten, ohne Spuren zu vernichten, geht so vor: 1) Zieht euch sofort die rohen access.log-Dateien der letzten 30 Tage über das Hosting-Panel auf die lokale Festplatte. 2) Macht ein lückenloses Datenbank-Backup via phpMyAdmin. 3) Notiert euch in der Tabelle wp_users das genaue Erstellungsdatum des verdächtigen Nutzers. 4) Filtert die Access-Logs rund um genau diesen Zeitpunkt, um zu sehen, an welche PHP-Datei oder Sicherheitslücke der entsprechende POST-Request geschickt wurde.

Einen ähnlichen Fall hatten wir letztes Jahr bei unserem Kfz-Teile-Shop in Hannover. Unser Programmierer hat uns fünf Tage lang mit Ausreden vertröstet, es sei nur der Cache kaputt. Als Google dann eine Sicherheitswarnung vor die Seite geschaltet hat, brachen unsere wöchentlichen Bestellungen von 4.000 EUR auf null ein. Die professionelle Bereinigung durch Experten hat uns 850 EUR gekostet, aber es hat sechs Wochen gedauert, bis die Abstrafung bei Google weg war und der Umsatz wieder lief. Wartet keine Minute länger.

Die Erklärung eures Entwicklers, ein Plugin-Update hätte die Datenbank zerschossen, ist völlig unglaubwürdig. Ein fehlerhaftes Plugin legt keinen gefälschten Admin an und schiebt auch keine Spam-Keywords in die Google-Suchergebnisse. Entweder hat er ein Plugin aus dubioser Quelle (Nulled) genutzt oder er will die eigene Sicherheitslücke nicht zugeben. Lasst das dringend von einem unabhängigen Profi prüfen.

Der wichtigste Schritt im Moment: Schaltet die Seite sofort in den Wartungsmodus. Wenn Kunden im Checkout auf fremde Seiten fliegen, werden dort möglicherweise gerade Kreditkartendaten abgegriffen. An einem produktiven System rumzudoktern gefährdet nur eure Kunden. Sperrt den Zugriff über das Hosting-Panel komplett für die Öffentlichkeit und lasst nur eure eigene Büro-IP drauf.

geht sofort per ftp in den uploads-ordner und sucht nach php-dateien. da gehört absolut nix rein außer bilder und pdfs. alles was ihr findet sofort löschen und ne htaccess reinpacken die das ausführen von php in dem ordnre blockt. sonst habt ihr die zombie-seite morgen früh direkt wieder.

Wie genau sieht denn eure Hosting-Umgebung aus? Seid ihr auf einem Shared-Hosting-Paket oder habt ihr einen eigenen vServer? Falls unter demselben Webspace noch andere Domains oder alte Testinstanzen liegen: Kann es sein, dass die Angreifer über eine veraltete Subdomain reingekommen sind und sich dann rüberkopiert haben? Sieht man in den Logs solche Cross-Domain-Zugriffe?

Sie erwähnten Weiterleitungen im Bezahlprozess. Sollten hierbei Kreditkartendaten oder personenbezogene Kundendaten an Dritte abgeflossen sein, besteht gemäß DSGVO in Deutschland unter Umständen eine Meldepflicht bei der zuständigen Aufsichtsbehörde binnen 72 Stunden. Betrachten Sie den Vorfall daher bitte nicht nur als IT-Problem, sondern behalten Sie auch die rechtliche Seite im Blick und sichern Sie sämtliche Logs mit forensischer Sorgfalt.

Danke fürs Schreiben.

Dieses Thema ist archiviert.

Du hast recht.

Ich fasse kurz zusammen, was bisher gesagt wurde. Lösungen, die im kleinen Maßstab funktionieren, brechen bei Wachstum zusammen das habe ich spät gelernt.

Wenn ich dich richtig verstehe, meinst du Folgendes: Zwei Wochen Notizen machen liefert bessere Ergebnisse als eine sechsmonatige Schätzung.

Wenn wir ohne Messung entscheiden, landen wir immer wieder am selben Punkt. Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

das wusste ich nicht. wenn der Benachrichtigungsweg lang ist, kommen keine Benachrichtigungen; keine Benachrichtigung bedeutet spät erkannte Vorfälle.

Absolut. Wenn ich noch etwas hinzufügen darf: Vergessene Testumgebungen sind häufiger das Einfallstor als das Live-System.

Korrigiert mich, falls ich falsch liege.

Ich schreibe kurz, wie das in der Praxis gemacht wird. Wenn die Zwei-Faktor-Authentifizierung aktiv ist, reicht ein gestohlenes Passwort allein nicht aus.

Überstürzte Entscheidungen sind oft solche, die man sechs Monate später korrigieren muss. Schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.

Kurzfassung für Neueinsteiger: Jeder nicht schriftlich festgehaltene Punkt ist einer, an den sich beide Parteien später unterschiedlich erinnern.

Wenn deine Situation anders ist, ändert sich das natürlich.

Hier lauert eine Falle, die ich nicht unerwähnt lassen möchte. Das allein zu versuchen, ist der teuerste Weg.

Schaut zuerst, welche Daten ihr bei der Entscheidungsfindung zur Hand habt. Das war's, entschuldige, wenn ich zu lang war.