Muss Abschluss von Update nun bestätigt werden?

Hallo miteinander

Habe gerade gemerkt, dass einige Seiten von mir gehackt wurden. Benutzeraccounts werden erstellt und automatisch mit Administrator oder mit Super User Rechten ausgestattet. Auch wird teilweise unter "Optionen" bei der Benutzerverwaltung die Einstellung für neu sich zu registrierende User von "registred" auf "adminstrator" gesetzt. Also dringend auf 3.6.4 updaten!!

S. auch www.heise.de/security/meldung/Dringender...luecken-3360220.html

Nun meine Frage. Bin nun am updaten und erhalte zum Abschluss neu eine Meldung die da lautet:

Joomla Update is finishing and cleaning up

To complete the update Process please confirm your identity by re-entering the login information for your site "tisato & sulzer | communication desgin | heiden " below.

Ich habe diese Meldung zum ersten Mal gesehen. Kann ich der trauen?

Herzliche Grüsse
Christoph

Hoi Christoph

Die Meldung ist mir auch nicht bekannt.

Hat "tisato & sulzer" etwas mit der Webseite zu tun?
Dauert es länger und es gibt ein Time-out, daher Du dich wieder einloggen musst?

lg adi

Hoi Adi

Danke. Ja, hat etwas mit der Seite zu tun.
Die Meldung scheint soweit ok zu sein (was ich bis jetzt herausgefunden habe)

forum.joomla.org/viewtopic.php?t=938164

Ich kann aber nur allen empfehlen sofort auf 3.6.4 upzudaten und die Userverwaltung zu durchkämmen. (auch die Optionen)

LG
Christoph

Hallo Christoph

Noch ein kurzer Hinweis: Es liesst sich für mich so, als ob du bei den gehackten Seiten einfach die Updates installierst und die neu angelegten Admins löschst. Falls das zutrifft, würde ich dir eher empfehlen, ein sauberes Backup, welches vor dem Hack erstellt wurde, einzuspielen. Die Angreifer haben wahrscheinlich bereits Hintertüren eingebaut und wenn diese nicht entfernt werden, können deine Seiten in ein paar Wochen oder Monaten für kriminelle Aktivitäten missbraucht werden.

Falls du auf Nummer sicher gehen möchtest, spielt du das Backup in einer lokalen Entwicklungsumgebugn ein, aktualisierst dort auf Joomla 3.6.4 und spielt dann die aktualisierte Seite auf dem Webspace ein, nachdem du dort alles gelöscht hast.

Viele Grüsse
Marco

Hallo Marco

Danke für den Hinweis!
Das gibt zu tun. Uff. Gibt es eine Möglichkeit die Installationen zu scannen um Schadcode zu erkennen?

Viele Grüsse
Christoph

Hallo Christoph

Die gibt es zwar, allerdings ist bei den Scannern immer die Frage, wie gut sie funktionieren. Wenn ein Scanner sehr gut gepflegt wird, sollte er die gängigen (nicht alle) Schadcodemuster erkennen. Ich kenne die Scanner nicht im Detail, vermute aber, dass sie auch viele fälschlicherweise positive Resultate liefern, die dann von Hand ausgewertet müssen.

Eine Alternative zum Backup wäre, die Log-Dateien auszuwerten, um den Angriff nachzuvollziehen, wobei dabei immer darauf geachtet werden muss, dass die Log-Dateien auch manipuliert sein könnten.

Wenn kein Backup vorhanden ist, würde ich die Seite neu aufbauen und alle Inhalte und Dateien nur nach gründlicher manueller Prüfung überführen.

Kurz zusammengefasst, ist das Einspielen von Backups meiner Meinung nach die einfachste und sicherste Lösung. Du könntest auch darauf verzichten, aber eventuell hast du später dann noch mehr Arbeit, wenn die Bereinigung nicht vollständig war und das saubere Backup zwischenzeitlich nicht mehr aktuell ist.

Viele Grüsse
Marco

Hoi Christoph

Bei manchen Hostings kannst Du in der Verwaltung nach Virenscannen. Es gibt auch einige Online Scanner, oder wenn Du Watchful.li oder myjoomla bieten auch sowas um nach Malware zu Scannen.

Die Wahrscheinlichkeit da was zu bereinigen oder finden ist jedoch eher gering.

Ich würde ein altes Backup in ein geschütztes Unterverzeichnis wiederherstellen... die Updates installieren um den neusten Stand zu erlangen. Dann kann ich Dir das Programm SPTransfer link empfehlen, wo Du die Beiträge, Benutzerkonten etc. von der "live" Seite importieren kannst.
Das ist wahrscheinlich der einfachste Weg.

lg Adi

Hallo Marco, hallo Adi

Danke Euch Beiden für die Unterstützung. Dann werd ich wohl zähneknirschend in den sauern Apfel beissen müssen
Ein letzte Frage: Könnte sich Schadcode nicht auch in den DB-Einträgen befinden?

LG
Christoph