KRITISCH: Gehacktes Webhosting – Support reagiert nicht

    Zitat von hackuni

    Bin seit Oktober Nutzer aber habe seit dem einen Virus drauf ich weiß nicht was passiert ist. Ich kann nix löschen der Virus hat scheinbar alles blockiert. Ich habe die Rechte auf 777 gesetzt dennoch geht nichts

    Das klingt nun vielleicht oberlehrerhaft - und Du willst es bestimmt nicht gerne hören, aber:

    Entweder Du kannst mit den hier gegebenen Tipps (Cron, SSH etc.) etwas anfangen oder Du solltest das gesamte WebHosting einreissen (lassen), im Zweifelsfall über eine Kündigung und es in Zukunft von jemandem machen lassen, der etwas davon versteht - oder beschränke Dich auf einfache, betreute WebSite-Generatoren.

    Auch ein Webhosting ist kein Kindergarten und ich habe ehrlich gesagt wenig Verständnis, wenn jemand ohne Kenntnisse dort Installationen vornimmt und sich dann - insbesondere nach einer Kompromittierung - nicht weiter kümmert / kümmern kann. Ich schraub' auch nicht einfach an sicherheitsrelevanten Teilen meines PKWs. Man muss nicht alles können...

    Nimm's bitte nicht als persönlichen Angriff, es ist aber m. E. die einzig sinnvolle Vorgehensweise.

    Ich glaube du hast das falsch verstande. Ich habe die rechte oder so nicht verändert hier was ich gemacht habe:

    1 Account Abo
    2 Domains eingetragen
    3 uplaod eines dublicator Backup

    Zwei Tage später war der Virus drauf das wars

    Nun sagte der Support ich soll die Rechte auf 777 stellen. Das hat nichts gebracht immer noch nicht löschbar

    hackuni :

    Da ich eine lokale KI betreibe, habe ich mal deine Frage meiner lokalen KI übergeben und innerhalb von ca. 2 Sekunden deine Frage wie folgt beantwortet bekommen.

    Ob diese Antwort nun zu deiner Lösung beitragen wird, habe jetzt nicht geprüft. Klingt aber doch schon sehr glaubwürdig.

    Die Antwort der KI innerhalb von 2 Sekunden:

    Spoiler anzeigen

    Das ist eine echt unangenehme Situation, aber erst einmal ein ganz wichtiger Hinweis vorab: Setz die Rechte bitte auf keinen Fall auf 777! Das bedeutet "jeder darf alles lesen, schreiben und ausführen". Damit öffnest du dem Virus (und anderen Angreifern) die Tür sperrweit auf. Setz Ordner zurück auf 755 und Dateien auf 644.

    Dass du nichts löschen kannst, liegt vermutlich an einem von zwei Gründen:

    1. Immutable-Flag: Professionelle Malware setzt oft ein spezielles Attribut (chattr +i), das selbst dir als Besitzer verbietet, die Datei zu löschen oder zu ändern.
    2. Cronjobs/Auto-Recreation: Der Virus hat einen Zeitplan (Cronjob) im System hinterlegt. Sobald du eine Datei löschst, wird sie innerhalb von Sekunden durch ein verstecktes Skript neu erstellt.

    Hier ist dein Schritt-für-Schritt-Plan, was du jetzt tun solltest:

    1. Die schnellste Lösung: Backup wiederherstellen

    Netcup erstellt in der Regel automatische Backups. Wenn die Infektion erst kürzlich passiert ist oder du ein sauberes Backup von vor Oktober hast, ist das der sicherste Weg.

    • Schau im Kundenpanel (CCP) oder im Control Panel deines Webspaces nach, ob du eine Sicherung aus einer Zeit wiederherstellen kannst, in der deine Seite noch sauber war.
    • Achtung: Wenn du ein Backup von November oder Dezember nimmst, ist der Virus höchstwahrscheinlich schon darin enthalten.

    2. Passwörter sofort ändern (Überall!)

    Bevor du aufräumst, musst du die "Eintrittstüren" schließen, sonst infiziert sich das System sofort wieder:

    • Ändere dein Passwort für das CCP.
    • Ändere dein Passwort für das Plesk Control Panel.
    • Lösch alle FTP/SFTP-Benutzer und leg sie mit starken Passwörtern neu an.
    • Ändere die Passwörter deiner Datenbanken.
    • Falls du WordPress, Joomla etc. nutzt: Ändere sofort die Administrator-Passwörter.

    3. Analyse und manuelle Reinigung (Schwierig)

    Wenn ein Backup nicht möglich ist, musst du tiefer graben:

    • Cronjobs prüfen: Schau im Control Panel unter "Geplante Aufgaben" oder "Cronjobs". Such nach Einträgen, die du nicht kennst (oft kryptische Namen oder Pfade zu /tmp oder versteckten Ordnern). Lösch diese als Erstes!
    • Versteckte Dateien: Achte auf Dateien, die mit einem Punkt beginnen (z.B. .hidden_shell.php).
    • Wenn diese Tipps nicht weiterhelfen, Netcup Support kontaktieren: Schreib ein Ticket an den Support. Erklär ihnen, dass dein Account kompromittiert wurde und du keine Dateien löschen kannst. Die Admins haben Root-Zugriff und können sehen, ob das immutable-Flag gesetzt ist oder welche Prozesse im Hintergrund laufen.

    4. Der "Nuclear Option" (Empfohlen bei schwerem Befall)

    Wenn ein System einmal so tief infiziert ist, dass Dateien blockiert werden, findet man oft nie alle Hintertüren ("Backdoors"). Der sicherste Weg ist:

    1. Daten sichern: Sichere dir nur die absolut notwendigen Daten (z.B. die Datenbank-SQL-Datei und den /uploads-Ordner mit deinen Bildern). Lade auf keinen Fall .php Dateien aus dem Backup wieder hoch!
    2. Komplette Löschung: Lösch alle Dateien auf deinem Webspace (oder lass das vom Support machen/setz den Account komplett zurück).
    3. Neuinstallation: Installiere dein CMS (z.B. WordPress) komplett neu aus einer frischen, offiziellen Quelle.
    4. Updates: Aktualisiere sofort alles (PHP-Version, Plugins, Themes) auf die neueste Version.

    Zusammenfassung: Was machst du jetzt?

    1. Stopp den Versuch mit chmod 777.
    2. Ändere alle Passwörter.
    3. Prüfe, ob ein altes Backup (vor Oktober) existiert → falls ja: Wiederherstellen.
    4. Falls nein: Schreib ein Ticket an den Netcup Support und bitte um Hilfe beim Löschen der blockierten Dateien.
    5. Für die Zukunft: Installiere ein Sicherheits-Plugin (z.B. Wordfence bei WordPress), nutze starke Passwörter und aktiviere 2FA, wo immer es geht.

    Warum ist das passiert? Meistens passiert das durch veraltete Plugins, Themes oder zu schwache Passwörter. Der Virus nutzt eine Sicherheitslücke aus, installiert einen "Bot" und sichert sich so ab, dass du ihn als normaler Nutzer nicht mehr entfernen kannst.

    Zitat von hackuni

    Ich glaube du hast das falsch verstande. Ich habe die rechte oder so nicht verändert hier was ich gemacht habe:

    [...]

    Zwei Tage später war der Virus drauf das wars

    Ich habe das schon richtig verstanden: Du betreibst auf Deinem WebHosting ein CMS, welches Du selber installiert hast, hast es nicht gehärtet, nicht gepflegt und weisst - nach einer Kompromittierung - nicht, wie Du Dich auf dem System anmelden kannst und Terminal-Befehle absetzt. Das ist einfach leichtsinnig und ich würde jemanden beauftragen, der sich auskennt oder auf einfache / gemanagte Systeme ausweichen.

    Und nicht falsch verstehen: Mein Hauptvorwurf gilt eigentlich einer (IT-) Industrie, die immer suggeriert, es wäre alles ganz einfach ("Bin isch schon drin...?"). Ist es nicht. Damit verdienen Menschen ihren Lebensunterhalt.

    Das ist einer der Gründe warum ich nur noch statische Seiten baue (sogar ohne javascript), php sofort abschalte auf einem webhosting und apache2 ohne nginx smart filter etc verwende. Als erstes sshkeys übertragen - htaccess einrichten und tschüss ccp panel. Das einzige CMS dem ich noch vertraue ist rails, aber auch nur weil ich ungefähr weiss wie ich das bedienen muss.

    The universe tends toward maximum irony. Don't push it.


    Deine Angaben sind viel zu ungenau.

    - Rechte für was hast Du wo und wie auf 777 gesetzt?
    - Was willst Du eigentlich wie löschen, das hier nicht geht.
    - Welche Fehlermeldung bekommst Du in welchem Programm, mit dem Du versuchst etwas zu löschen?

    wenn Du genauso wenig Infos an den Support lieferst, können die Dir auch nicht helfen ;)


    Stell Dir vor Dein Kühlschrank geht nicht.
    Du kontaktierts den Hersteller: "Mein Kühlschrank geht nicht!"
    Der antwortet Dir: "Du musst den Stecker in die Steckdose stecken."
    Du stellst fest: " Ich hab den Stecker eingesteckt, geht trotzdem nicht."

    und nun? niemand kann wissen, ob Du den Stecker in die richtige Steckdose gesteckt hast, ob die Sicherung rausgeflogen ist, oder ob der Kühlschrank ein ganz anderes Problem hat. will sagen, sowas solltest Du zunächst mal selbst eingrenzen und mindestens beschreiben, was Du wie/wo versucht hast.
    (Wenn Du allerdings grundlegend nicht weisst, wie Strom funktioniert, solltest Du am besten selber gar keinen Kühlschrank betreiben...)

    Einmal editiert, zuletzt von Falzo (16. April 2026 um 15:43)

    Zitat von MyMattes

    Ich habe das schon richtig verstanden: Du betreibst auf Deinem WebHosting ein CMS, welches Du selber installiert hast, hast es nicht gehärtet, nicht gepflegt und weisst - nach einer Kompromittierung - nicht, wie Du Dich auf dem System anmelden kannst und Terminal-Befehle absetzt. Das ist einfach leichtsinnig und ich würde jemanden beauftragen, der sich auskennt oder auf einfache / gemanagte Systeme ausweichen.

    Und nicht falsch verstehen: Mein Hauptvorwurf gilt eigentlich einer (IT-) Industrie, die immer suggeriert, es wäre alles ganz einfach ("Bin isch schon drin...?"). Ist es nicht. Damit verdienen Menschen ihren Lebensunterhalt.

    Ich verstehe das klingt alls so als soll ich hier Kündigen. Warum sind die Leute hier so giftig, Ich kann nicht jeden Fehler wissen und verstehen. Ich betreibe die Webseiten eingie Jahre und so etwas ist noch nie passiert. im vorhergehenden Webspace hatte ich einzelne Accounts das hat vll geschützt oder es ist durch das kopieren passiert und ausgelöst. Ich verstehe aber das ich wieder zum alten Webspace soll. Danke

    Hey


    Wordpress

    Dublicator Plugin https://de.wordpress.org/plugins/duplicator/

    das Plugin erstellt 2 Dateien eine install.php und eine Zip beides hochgeladen nach 2 tagen wollte ich das einrichten ja hätte ich vll gleich machen sollen aber es gab ein 403 error und ich hatte keine Zeit diesen zu lösen.
    Heißt ich habe nix eingerichtet gehabt

    Schon warn da diese Dateien überall auf dem Webspace habe sie mir angeschaut und sahen sehr cryptisch aus.


    Mittlerweile habe ich den gesamten Webspace gelöscht bekommen. Die Malware kommt aber immer wieder und erstellt teilweise Wordpress Dateien. ein Cronejob ist nicht auffindbar

    Leute wir sollten dem mal auf den Grund gehen. Dieses ganze bisherige Blabla hat keinen Sinn. Ein Erleuchteter soll sich den Zugangsdaten annehmen. Das Ding fixen und für die Noobs dokumentieren.

    Das Plugin könnte gehackt sein, aber es geht hier mal drum ein befallenes Webhosting ordentlich zu sanitizen.

    Es wird nicht das Plugin sondern vermutlich das Backup schon betroffen sein. Vermutlich unsichere Passwörter oder ein Plugin das angreifbar ist. Es ist kein Problem eiin Duplicator Backup auch manuell zu installieren. Im zip sind alle relevanten Daten drin (sql Dump und WP Installation). Man könnte einmal die Installation lokal durchführen und danach einmal scannen. Im schlimmsten Fall muss man alles einmal manuell von einem isolierten System (einer VM oder so) auf ein sauberes WP übertragen.

    Derzeit ist der gesamte Webspace nicht nutzbar. Mir hatte jemand via PN geholfen und so weit so gut, es mussten Rechte geändert werden nun kommt man nicht mehr auf den http.... Ordner vom gesamten Webspace. Die Malware wurde immer wieder über eine spezielle Domain nachgeladen. Auch das löschen der befallenen Dateien hat nix gebracht.

    Ich denke mehr als hoffen das der Support sich dem Problem animmt und alles neu aufsetzt habe ich nicht. Das war bislang 5 Monate umsonst zahlen :(. Hoffentlich geht die Geschichte noch gut aus.