Abuse Hinweis - Macht wenig Sinn

Gestern habe ich eine E-Mail erhalten, dass meine Websites missbräuchlich genutzt werden. Mein gesamtes Webhosting-Konto mit 13 Websites und E-Mails wurde gesperrt.

Als ich versuchte, das Abuse-Team zu kontaktieren, hatte ich das Gefühl, dass mir ein Roboter antwortete, der meine Fragen nicht wirklich beantwortete, sondern nur vorgefertigte Antworten kopierte und einfügte. Ich soll einen Zeitrahmen von zwei Stunden für die Reparatur beantragen, aber das Problem ist, dass mir bisher nur folgende Informationen gegeben wurden:

========== Abusemeldung / Abuse report ==========

/var/www/vhosts/hostingXXXX.aeXXX.netcup.net/xxxxxxx.de/httpdocs/wp-admin
wp-config-docker.php:122: eval($configExtra);


Mit freundlichen Grüßen

Ihr netcup Team

Aus der obigen Nachricht schließe ich, dass es eine kompromittierte Datei wp-config-docker.php im Ordner wp-admin geben muss.

Das Problem ist, dass dies nicht stimmt. Es gibt keine solche Datei in wp-admin. Diese Datei befindet sich im WordPress-Stammverzeichnis und ist eine echte Datei aus den Wordpress-Docker Installation.

Das Einzige, was mir einfällt, ist, dass ich noch einige kompromittierte Dateien im Ordner .Trash habe, die von dem letzten Hackerangriff auf Wordpress vor einigen Monaten stammen. Seitdem habe ich jedoch für maximale Sicherheit gesorgt – alle Passwörter wurden geändert, 2-Factor-Authentication eingeschaltet, automatische Updates für Wordpress aktiviert und die Dateiintegrität überprüft.

Wisst ihr, ob es möglich ist, irgendwie den wahren Grund für die Sperrung meines Kontos herauszufinden?

Oder ist es wirklich möglich, dass sie mein Konto gesperrt haben, weil sie einfach eine Datei mit der eval()-Funktion darin gefunden haben?

Zitat von ASS

Wie hast du das getan, ohne alles zu löschen und das ganze System neu aufzusetzen?

Wieso bist du dir sicher, dass nicht eine Backdoor von damals jetzt aktiv wurde?

Nun, es könnte sein, dass dort irgendwo etwas ist, obwohl der Wordpress Integrity File Checker von Plesk anzeigt, dass die Integrität in Ordnung ist und alle Websites sicher und auf dem neuesten Stand sind.

Zitat von webdesignheld

Das ist doch aber eine reguläre Datei sagst du - dann müssten ja alle Wordpress Site accounts geschlossen werden wenn die so vorgehen oder? und wieso sind kompromittierte Dateien im Trash (auch nur ein Ordner?) ...

Nicht jeder nutzt die Wordpress-Docker-Einrichtung und synchronisiert Dateien mit dem Webhosting.

Ich habe nach Wartungszeitfenster von 11:10 bis 13:10 gefragt, die haben aber mein Konto noch vor dem Zeitfenster entsperrt. Ganz ohne Kommentare, ohne Antworten auf meine Fragen. Was soll ich jetzt tun? Alle Websites bestehen weiterhin die Integritätsprüfungen.

Zitat von ASS

Eine Frage die dir nicht hilft und auch nicht mit deinem Thema zu tun hat:

Hast du außer diesem Webhostingkonto noch weitere Produkte in deinem Account? Weitere Webhostings? Weitere Vserver? Wenn ja, sind diese ebenfalls gesperrt worden, oder nur das eine Webhosting das betroffen ist?

Nur das Webhosting. Der Vserver war noch verfügbar, aber ich konnte mich nicht bei Cpanel anmelden, da auch die E-Mail-Funktion blockiert war und ich daher den Anmeldecode nicht erhalten habe.

Zitat von ASS

Das beruhigt mich. Ich hatte Gerüchte im Kopf, dass bei Abuse alle Produkte eines Accounts gesperrt werden würden.

Also nochmal um ganz sicher zu sein:

Du hast in deinem Account Vserver und mehrere Webhostings, aber nur das eine Webhosting das die Abuse Meldung hat, wurde gesperrt und alle anderen Dienste sind weiterhin in Funktion?

Das wurde bisher nie zuverlässig geklärt...

Ja, genau.

Ich habe das Gefühl, dass meine Sperrung mit einem dummen Sicherheitsscanner zu tun hatte und niemand zugeben will, dass er einen Fehler gemacht hat. Anstatt meine Fragen zu beantworten, haben die einfach mein Konto entsperrt. Ich habe auch die letzte Logs überprüft, aber da ist nichts Verdächtiges aufgefallen.

Ich bin froh, dass ich Netcup nicht für die Verwaltung meiner Domains verwendet habe – zumindest konnte ich sie gestern auf andere Server umleiten, aber trotzdem hat ein Tag Ausfallzeit eine Menge Ärger verursacht – zum Beispiel konnte eine Tierklinik ihr internes System nicht nutzen, ein Restaurant konnte keine Reservierungen entgegennehmen und natürlich gingen viele E-Mails verloren.

Ich kann nur empfehlen, Backups und Domains außerhalb von Netcup zu verwalten.

Zitat von ASS

Zumindest das sollte aber nicht der Fall sein.

Da wird doch sicher nicht der Emailempfang gesperrt und wenn, dann nur mit einem temporären Fehler, sodass die Mails nachträglich eingehen.

Ausgehende E-Mails wurden definitiv blockiert, eingehende E-Mails – ich weiß nicht, wie lange der sendende Server es weiter versuchen wird. Das Konto wurde gegen 13:00 Uhr gesperrt, und um 4:00 Uhr nachts habe ich eine Reserve-E-Mail eingerichtet, also mehr als 12 Stunden.