Hallo zusammen
ich betreue eine Joomla 2.5 Site, welche in den letzten 12 Monaten massiv unter Angriffen leidet. Akeeba Tools meldet mir allein im letzten Monat 2'135 Versuche das Administrator Passwort zu knacken.
Dank automatischer IP-Sperre und anderen "Stolperfallen" ist bis jetzt noch nichts passiert...
Gestern allerdings habe ich festgestellt, dass plötzlich ein neuer Backend-User (registered) vorhanden ist, aber weder freigegeben noch aktiviert ist. Google meldet unter der verwendeten Mail-Adresse und IP Adresse:
cleantalk.org/blacklists/peterholokost@gmail.com
Die dort aufgeführten Nicknames entsprechen auch dem neuen User-Namen im Backend.
Meine Frage: das deutet doch darauf hin, dass der Angreifer bereits Zugang zum Backend hat. Code und Dateien wurden keine geändert (sucuri.net überwacht die Site regelmässig und findet keine Veränderungen). Was wären in der jetzigen Situation die nötigen Schritte, um die Site zu sichern? Passwörter ändern (Administratoren, User, Datenbank)? Oder gibt es weitere Dinge, die ich beachten müsste?
Herzlichen Dank für Euren Input
Thomas
