Wieder Schadcode auf Website

Nach längerer "Ruhe" ist wieder mal der Teufel los:

Der Hoster "Hoststar" informiert mich mit einem Mail, dass die Techniker Schadcode in meiner Joomla Installation entdeckt haben, welcher u.a. Spam verursache, Schadcode auf die Website laden könne oder Angriffe auf Drittsysteme ausführen könne.
Danach wurden einige PHP-Dateien aufgeführt, welche nun entfernt seien.
Ich müsse nichts unternehmen, so der Provider, weil ein Backup eingespielt wurde - letzter Stand ohne Infektion.
Soweit so gut - nur das löst bei mir Stirnrunzeln aus:
Ich habe jederzeit die neuesten Updates ausgeführt, keine exotischen Plug-ins oder Komponenten sind vorhanden …… was kann ich den noch alles "falsch" gemacht haben?

Danke für Tipps
Stefan

Hoi Stefan

Das ist übel und vorallem kratzt es am vertrauen in Software, Hoster sich selbst.

Eine Seite einmal mit schadcode verseucht ist sehr übel. Es ist gut möglich dass der schadcode seit längerem in der Seite schlummert. Theoretisch können da auch schon die Backups verseucht sein.

Ich habe mit mysites.guru gute erfahrung gemacht, die Seiten zu scannen. Und sicherheitstechnisch nebst aktueller software, das Administrator Verzeichnis .htacces zu schützen, sowie die .htaccess mit den Siwecos.de einträgen zu erweitern.

Lg Adi

....und ich würde gerne die Dateien selbst sehen:
Wo waren diese, seit wann (Datum/Zeit) und was stand drinn?

Dann könnte man ev. anhand vom Access-Log das Problem lokalisieren.

Denn so gesehen, mit diesen Angaben, ist es ja nur eine Mail vom Hoster.....

Danke Adi und Tribal6
folgende Dateien hat Hoststar aufgeführt:
smgyp.php
sxjbv.php
szcpe.php
tsrlx.php
uwspt.php
uz6vxm.php
vclld.php
Es wurde ein "sauberes" Backup vom 4.3. eingespielt ….. also lange kann das nicht her sein.
Wenn ich das Server-Log ansehe, wird mir leicht übel: IP's von China bis USA ist alles vertreten ..
Grüsse Stefan

Hi Stefan,

hast/hattest du ein sicheres Admin Passwort?

Also nicht
runner1973

Sondern
RunneR1973!aBiY39!

z.B.

Die letzten 2 Joomla "Hacks", die ich bearbeitet habe (eigentlich gibt es die nicht mehr) waren offenbar Bruteforce Attacken/geknackte Passwörter. Und dann wurde ein Template mit Schadcode installiert über das Backend.
Davor hatte mal jemand die Akeeba kickstart.php vergessen, worüber Schadcode importiert wurde - ansonsten ist es um Joomla sehr ruhig geworden.

Hast du einen htaccess Passwortschutz für das /administrator Verzeichnis gesetzt?
Wenn nicht, würde ich das empfehlen.


Gruß

Pascal

hallo Pascal
Admin PW: Zahlen/Buchstaben (gross+klein) sowie Sonderzeichen ….
keine Ahnung, wie "schnell" sowas geknackt werden kann ….
habe auch seit gestern den Amin mit .htaccess zusätzlich gesichert ….
sehe im Serverprotokoll folgendes (Auszug):
118.109.113.228 - - [14/Mar/2020:07:23:11 +0100] "GET /administrator/index.php HTTP/1.0" 401 635 "-" "Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:62.0) Gecko/20100101 Firefox/62.0"
148.102.120.215 - - [14/Mar/2020:07:29:26 +0100] "GET /administrator/index.php HTTP/1.0" 401 635 "-" "Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:62.0) Gecko/20100101 Firefox/62.0"
120.79.219.147 - - [14/Mar/2020:07:42:26 +0100] "GET /administrator/index.php HTTP/1.0" 401 635 "-" "Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:62.0) Gecko/20100101 Firefox/62.0"
94.23.13.183 - - [14/Mar/2020:07:55:47 +0100] "GET /administrator/index.php HTTP/1.0" 401 635 "-" "Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:62.0) Gecko/20100101 Firefox/62.0"
173.212.212.80 - - [14/Mar/2020:08:02:42 +0100] "GET /administrator/index.php HTTP/1.0" 401 635 "-" "Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:62.0) Gecko/20100101 Firefox/62.0"
47.106.96.255 - - [14/Mar/2020:08:10:53 +0100] "GET /administrator/index.php HTTP/1.0" 401 635 "-" "Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:62.0) Gecko/20100101 Firefox/62.0"
47.99.144.49 - - [14/Mar/2020:08:18:32 +0100] "GET /administrator/index.php HTTP/1.0" 401 635 "-" "Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:62.0) Gecko/20100101 Firefox/62.0"

???
Grüss
Stefan

Du kannst hier
whatismyipaddress.com
die IP Adressen nachschlagen, zumindest aus welchen Ländern sie kommen.
Der Code 401 bedeutet einen nicht autorisierten (also abgewimmelten) Zugriff, kein Grund zur Sorge also.

Danke Chris
ich schaue die IP lieber hier eigene-ip.de/
hat weniger Werbung

Stefan