[Dringend/Problem] Automatisches ertellen von .htaccess und ändern von .php-files

    Stimme den Vorrednern voll zu.

    Leider ist ein kompromitiertes System immer eine zeitaufwändige Angelegenheit. Da unterscheidet sich ein virenverseuchter PC nicht von einem Webhosting oder Server. Leider haben letztere beide eine dicke Bandbreite und können in Deinem Namen schlimme Dinge anstellen und großen Schaden anrichten.

    Du allein trägst hier (straf- & haftungsrechtlich) die Verantwortung. Deine Server- und IP-Nachbarn werden u.U. mit reingezogen. X/

    Selbes gilt dann auch für Deine Seitenbesucher und deren Daten. :|

    Die Meisten hier können aber sicher mitfühlen und Deine Kopfprämie zeigt ja auch Dein Engagement und Willen das zu reparieren.

    Neu aufsetzen ist i.d.R. die einfachste und schnellste Lösung. Darfst auch nichts kompromitiertes von Deinem heimischen PC auf den Webspace hochladen. Neu heißt neu: Jede Quelle anhand der Hashes und Signaturen prüfen!

    Zitat von gunnarh

    Das heißt, dass die Malware sich mit diesem Banner tarnt, damit Leute wie Du glauben das wäre was legitimes und es für unverdächtig halten

    Ist das Gleiche wie bei den E-Mails von der Volksbank obwohl Du dort gar kein Konto hast... ;)

    Zitat von ichhalt033

    Und genau deshalb wäre dann bei einem wechsel auch Netcup keine Option mehr, da das Problem nicht von mir kommen kann.

    Zitat von ichhalt033

    Ich kann die Logs leider nicht lesen bzw. verstehe davon nicht zuviel.

    Du merkst selbst dass sich die beiden Zitate widersprechen?

    Ist nicht böse gemeint. =O

    Kontrolliere die Backups (wenn z.B. noch User-Content fehlt, diesen halt noch isoliert sichern) und plane zügig das neue Aufsetzen des Systems.

    Du könntest je nach Größe und Geld auch einfach parallel ein komplett neues System aufsetzen und Stück für Stück die verschiedenen Dienste / Seiten in Betrieb nehmen. Dann kannst Du parallel schauen und vergleichen. Allerdings solltest Du auch aktuelle Konfigurationen und Empfehlungen für sichere Einstellungen berücksichtigen.

    Up to Date sein ist hier Pflicht!

    Ich habe vor ein paar Monaten selbst eine Lücke in einem eigenen älteren (privaten) Skript entdeckt. Wäre zwar ohne Insiderwissen (das hier nur ich und netcup-MA haben) kaum möglich gewesen auszunutzen, dennoch hatte ich damals sofort Fr. Abend 22 Uhr bis 4 Uhr am Sa. eine Nachtschicht eingelegt.

    Mit den Jahren kommt die Erfahrung.

    Wünsche Dir aufrichtig Erfolg und Durchhaltevermögen. :)

    Bei technischen Fragen steht Dir das Forum mit den vielen Experten (zu denen ich mich gar nicht zählen will) sicher gerne zur Verfügung. :thumbup:

    Wie wäre denn folgendes Vorgehen:

    ( Mir ist klar, dass alles neu aufsetzen das beste wäre, aber wir reden hier nicht nur von einer komplexeren Website... - Deshalb nach wir vor keine Option )

    Als kleine Hilfe; zeigt mir Windows-Defender alle "betroffen" Dateien (nach dem Herunterladen) als Problematisch.

    Ich lade alles herunter, bereinige die Dateien die sich bereinigen lassen (bei einfachere PHP-Dateien lässt sich ja erkennen was zum Code gehört oder nicht) und lade diese auf ein von Netcup bereinigten System.

    Wäre das ein Versuch Wert?

    Zitat von ichhalt033

    ( Mir ist klar, dass alles neu aufsetzen das beste wäre, aber wir reden hier nicht nur von einer komplexeren Website... - Deshalb nach wir vor keine Option )

    Bevor Du diese Option immer wieder kategorisch ausschiesst, solltest Du Dir einmal ganz objektiv deren Konsequenzen und die Vor-/ Nachteile klar machen. Leider fehlt noch immer die Information, ob es sich wirklich - wie vermutet - um ein Webhosting handelt und welches CMS Du nutzt. Trotzdem klingt ein Neuaufsetzen schlimmer als es ist - falls man Backups hat:

    • Die eMail-Accounts sind nicht betroffen, allerdings solltest Du alle (!) Passwörter ändern
    • Je nach CMS werden Layout und Konfiguration aus der Sicherung wiederhergestellt
    • Ausserdem bietet sich so eine gute Gelegenheit, Altlasten aufzuräumen

    Konkreter:

    • Du entfernst alle (!) Inhalte aus den Web-Verzeichnissen inklusive .htaccess- und anderer Konfigurations-Dateien, und löschst die Datenbanken
    • Alle Scripte / Binaries lädst Du von ihren ursprünglichen Quellen und kontrollierst Fingerprints
    • Datenbanken legst Du frisch mit neuen Accounts / Passwörtern an
    • Inhalte übernimmst Du dann selektiv aus Sicherungskopien der DBs bzw. der Content-Verzeichnisse. Hier darf kein ausführbarer Code wiederhergestellt werden
    • Idealerweise kannst Du die Neuinstallation in einem separaten Hosting-Produkt machen und am Ende das Document Root auf dieses umbiegen.
    • In der Zwischenzeit mag ein periodisches Cleanen des kompromittierten Auftritts eine Notlösung sein. Eigentlich gehört das Teil abgestellt und alles andere ist Augenwischerei.

    Und bei allem nicht vergessen: Es fehlt Dir noch die Kenntnis, wie die Kompromittierung stattfand. Ohne diese Root-Cause-Analyse droht Dir eine erneute Übernahme im Falle von anfälligen Plugins oder eigenen Scripten.

    Selber irgendwelche „Bereinigungsaktionen“ durchzuführen, halte ich persönlich nicht für sinnvoll, zumal du bisher überhaupt keine wichtigen Hintergrund Infos geliefert hast. Wenn es wirklich wichtige Projekte (eventuell gewerblich) sind, würde ich einen Dienstleister beauftragen, der sich damit auskennt. Alles andere wird vermutlich nicht dauerhaft zum Erfolg führen.