Joomla gehackt - oder doch nicht?

Folgende Situation:
Per Zufall wurde entdeckt, dass bei zwei von mir betreuten Domains ein "Anhängsel" existiert. Beide Joomla-Version 3.8.1.
Bei der Google Suche: (und nur so!!!)
site:lengnauerfuechse.ch sowie
site:roselyne.ch
stösst man in den hinteren Ergebnis-Positionen plötzlich auf diese ich nenne sie "Anhängsel" welche im einen Fall
auf hunderte von Dating oder Pornsites landen oder im anderen Fall waren es Schuhe in Massen .....

Einerseits scheint die Joomla-Installation völlig unberührt, die entsprechenden PHP-Seiten bzw. Verzeichnisse habe ich nur
im FTP gesehen. Ist also die Schwachstelle hier zu suchen? wie haben die es geschafft, PHP-Dateien und Verzeichnisse in die
Joomla-Installation zu integrieren.....? wie gesagt, die Joomla Seiten scheinen völlig intakt, die ganze Angelegenheit wurde nur
fast zufällig via Google aufgedeckt ...
Gibt es da von euren Seiten Hinweise? Habe jedenfall die FTP Passwörter geändert und die entsprechenden Dateien/Verzeichnis gelöscht.

Danke für Tipps
Stefan

Nur so nebenbei und ohne Worte:

sitecheck.sucuri.net/results/lengnauerfuechse.ch

Diese Seite ist bereits ge-blacklistet. Die andere Seite hab ich nicht geprüft. Solche Seiten gehören blitzartig vom Netz genommen, de Inhaber ist verantwortlich für Schäden.

Chris, danke für den Hinweis, also Plattmachen? wie hätte ich dies bemerken müssen oder verhindern...??
die andere Seite scheint clean zu sein, habe aber zwei PHP Dateien im Joomla-Root gelöscht ...

Stefan

Die Frage wurde schon so oft gestellt, dass wir dazu einen Eintrag in die FAQ geschrieben haben.

P.S. Woher nimmst du die Gewissheit, dass die zweite Seite clan ist? Wenn Sucuri sagt, es werde nichts gefunden, ist das noch keine Garantie.

Chris:
Ja, diese FAQ habe ich schon gelesen, aber meine Frage war: wie hätte ich es merken müssen, gehackt zu sein ....?
den offensichtlich ist dies bei "lengnauerfuechse.ch" schon seit längerer Zeit so .....
ich habe auf einem bestehendem Joomla aufgebaut ....
Bei der zweiten Seite bin ich mir absolut nicht sicher, wie du erwähnst .....
habe einen zweiten, mir unbekannten FTP-Zugang (beim Provider) gefunden, welchen ich per sofort löschte und alle PW geändert.
Stefan

Hoi Runner.one

Hacks sind schwer zu erkennen. Das ist ja eigentlich auch das Ziel der Hacker, möglichst unbemerkt zu bleiben.

Da ist die wohl einzige Massnahme stets vorzubeugen... daher Updates immer möglichst rasch einspielen und Drittkomponente möglichst meiden. (hast Du sicher schon 100x gehört oder gelesen).

Einmal verseucht wird es schwierig und aufwendig-

Wenn Du eine Schnittstelle zur Google Search Console (Google Webmastertools) machst, hilft Dir auch Google auf ein Hack hinzuweisen (meist ist dann aber auch schon zu spät, aber zumindest wirst Du informiert) und hast ev. die Möglichkeit ein älteres Backup einzuspielen...

Es gibt auch Update Services wie myjoomla oder watchful.li welche Dich informieren wenn updates verfügbar sind (auch von Drittkomponenten).
Vielleicht auch ein Admintools von Akeeba installieren um etwas zusätzlichen Schutz zu haben.
Manchmal spielt auch der Hoster mit... da gibt es welche die mehr für die Sicherheit tun für Ihre Schäfchen als andere...
Ich hab noch bei mxtoolbox.com/ ein Abo, welches mich wöchentlich informiert ob die IP Adresse auf einer Blacklist ist (kostenlos). Das wären dann auch Hinweise...

Das gilt auch für den eigenen PC... immer schön updates einspielen und ein aktuellen PC Virenscanner verwenden..

Viel mehr kannst Du nicht machen...

adi

Ich kann dir nur sagen, wie ich mich verhalte:

• Alle Joomlas, für die ich verantwortlich bin, (d.h. die Kunden haben einen entsprechenden Vertrag), werden zeitnah upgedatet, und zwar nicht nur Joomla selbst, auch alle Erweiterungen. Will ein Kunde das nicht, wird er von mir darauf aufmerksam gemacht, dass er selber verantwortlich ist für seine Seite.
• Für Vertragskunden wird ein monatlicher Backup erstellt und zwar auf einen externen Speicher.
• Ich berücksichtige ausschliesslich vertrauenswürdige Hoster, die wissen, wie man Webpräsenzen gegeneinander abschottet. Geiz ist Geil ist nicht sinnvoll an der Stelle.
• Es ist Pflicht, sich à jour zu halten, es gibt genügend Newsletter, die man abonnieren kann.

Ferner gibt es (kostenpflichtige) Dienste, die man in Anspruch nehmen kann für Updates und Audits. Watchful.li ist einer, myJoomla.com ein anderer. Gibt noch mehr, ich nenne hier einfach die, die mir in den Sinn kommen.

@Adi + @Chris
Vielen Dank für eure Hinweise und Hilfe.
Das meiste genannte habe ich aber auch so gemacht: immer die neuesten Joomla-Versionen, Updates für Erweiterungen soweit erhältlich, Info auf einschlägigen Foren und Websites, Hoster verwende ich nur Hoststar , Hosteurope und Green. Und trotzdem hat es mich nun "erwischt"
Die von euch erwähnten Zusatztools zur Erkennung werde ich nun vermehr verwenden.
Aber trotzdem würde ich gerne von Profis wissen, warum ich den entscheidenden Hinweis von Google nur erhalte, wenn ich die Suchabfrage mit:
site:lengnauerfuechse.ch eingebe? gibt es dafür Gründe?

Vielen herzlichen Dank
Stefan

Runner.one schrieb: @Adi + @Chris

Aber trotzdem würde ich gerne von Profis wissen, warum ich den entscheidenden Hinweis von Google nur erhalte, wenn ich die Suchabfrage mit:
site:lengnauerfuechse.ch eingebe? gibt es dafür Gründe?

Vielen herzlichen Dank
Stefan

Ich würde mal sagen, dass Google diese nicht relevante links erkennt und nicht listet.

lg adi

Runner.one schrieb: Hoster verwende ich nur Hoststar , Hosteurope und Green.

Ich verwende keinen dieser Hoster. Den einen kenne ich nicht, ein weiterer hat für Joomla-hosting einen schlechten Ruf. Den dritten kenne ich allerdings und kann ihn nicht empfehlen. Das muss aber jeder selbst wissen. Falls die verdächtigen Seiten beim selben Hoster liegen, würde ich den mal kräftig zur Brust nehmen und allenfalls umziehen.

Im Übrigen wurde hier schon alles gesagt, Dank an @adiheutschi.ch für seine sinnvollen Ergänzungen.