Befundbericht

So sieht dein Bericht nach einer Bereinigung aus. Website, Funde und Zeiten auf dieser Seite sind erfunden. Dein echter Bericht beschreibt genau das, was ich auf deiner Seite gefunden und getan habe, und kommt als PDF per Mail.

Kurzfassung

Deine Seite ist wieder sauber. Der Angreifer kam über eine veraltete Version des Plugins „Beispiel Slider“ herein. Ich habe den Schadcode, eine versteckte Hintertür, ein fremdes Admin-Konto und rund 1.200 Spam-Seiten entfernt und die Lücke geschlossen. Die Google-Warnung ist zur Überprüfung eingereicht.

Was ich gefunden habe

Weiterleitung auf eine Spam-Seite

Nur für Besucher von Google und vom Handy. Gefunden in der Theme-Datei functions.php, eingeschleuster Code am Dateiende. Code entfernt, Datei mit dem Original verglichen.

Versteckte Hintertür

Eine PHP-Datei, getarnt als Bild-Cache im Upload-Ordner. Datei gelöscht und PHP im Upload-Ordner gesperrt.

Fremdes Admin-Konto „wp-support“

In der Benutzerverwaltung. Konto gelöscht, Inhalte geprüft.

Rund 1.200 Spam-Seiten

Pharma-Werbung in der Datenbank. Seiten gelöscht, Sitemap neu erzeugt.

Verstecktes Skript in einem Widget

In der Datenbank, in einem Text-Widget. Skript entfernt.

Wie der Angreifer reingekommen ist

Das Plugin „Beispiel Slider“ lief noch in Version 2.1.3. Für diese Version ist seit Monaten eine Sicherheitslücke öffentlich bekannt, über die sich ohne Login Dateien hochladen lassen. Genau so kam die Hintertür auf den Server. Das Plugin war zusätzlich gar nicht mehr in Benutzung.

Was ich getan habe

Den befallenen Zustand gesichert, bevor ich etwas verändert habe
Alle WordPress-Dateien mit den offiziellen Originalpaketen abgeglichen
Schadcode, Hintertür, Spam-Seiten und fremdes Konto entfernt
Das unbenutzte Plugin gelöscht, WordPress, 14 Plugins und das Theme aktualisiert
Passwörter aller Admin-Konten, das Datenbank-Passwort und die Sicherheitsschlüssel erneuert
Das Bearbeiten von Dateien im WordPress-Dashboard abgeschaltet
Die Überprüfung bei Google beantragt und den Hoster informiert

Was du jetzt tun solltest

Ändere dein eigenes Passwort für WordPress, das Hosting und den FTP-Zugang.
Lösche das Konto „wp-cleaner“, das du für mich angelegt hast.
Halte Plugins und Theme aktuell, am besten wöchentlich. Ungenutzte Plugins löschen statt nur deaktivieren.
Schau in 1 bis 3 Tagen in die Google Search Console, ob die Warnung aufgehoben ist.

Garantie

Kommt der Hack innerhalb von 30 Tagen über dieselbe Lücke zurück, bereinige ich deine Seite kostenlos noch einmal. Eine Mail mit deiner Bestellnummer reicht.