Was kann ich tun, wenn Inhalte meines Webspace manipuliert werden?
Da dies eine Relativ umfangreiche Frage ist, ist diese in mehrere Fragen aufgeteilt:
Was sollte ich als Erstes tun?
Wenn Du feststellst, dass die Inhalte Deines Webspaces manipuliert wurden, solltest Du sofort reagieren, denn über diese Inhalte werden unter anderem Viren und Trojaner verbreitet. Wenn Du über ein Ticket von der Manipulation erfährst, wurde der Zugang zu Webspace bereits gesperrt, damit eben kein Besucher der Gefahr einer Infektion ausgesetzt wird. Sollte der Webspace nicht gesperrt sein, solltest Du die Inhalte schnellstmöglich bereinigen oder offline nehmen.
Danach sollte der Computer auf Schadsoftware überprüft werden. Warum? Siehe weiter unten ;-)
Ist der Computer sauber, müssen neue Kennwörter gesetzt werden, denn die alten sind als Unsicher zu betrachten. Auch hier steht der Grund weiter unten.
Wie bekomme ich meine Seite wieder sauber?
Sichere zunächst den aktuellen Zustand einschließlich Datenbank außerhalb des öffentlich erreichbaren Webspace. Diese Sicherung kann infiziert sein; bewahre sie getrennt auf und führe daraus keine Programme aus. Sie hilft, benötigte Inhalte und die Ursache später zu untersuchen.
Halte die Website während der Bereinigung offline. Nutze möglichst ein nachweislich sauberes Backup von Dateien und Datenbank aus einem zusammenpassenden Zeitpunkt. Das Fehlen einer bekannten Schadcode-Datei allein beweist keinen sauberen Stand. Beachte, dass neuere Beiträge, Bestellungen und Uploads beim Rücksetzen verloren gehen können; sichere sie vorab und übernimm sie nur nach Prüfung.
Ohne sauberes Backup musst Du die Anwendung gezielt neu aufbauen: Lade aktuelle, unterstützte Software, Themes und Plugins aus vertrauenswürdigen Originalquellen. Lösche nicht pauschal alle Dateien außer der Konfiguration: Bei WordPress enthalten etwa wp-content/uploads und individuelle Themes eigene Inhalte, die ein neues WordPress-Paket nicht ersetzt. Sichere und prüfe diese Inhalte separat. Konfiguration, zusätzliche Dateien und Datenbank müssen ebenfalls auf Manipulationen geprüft werden.
Behebe die Eintrittsursache, aktualisiere die Anwendung und entferne unbenutzte oder nicht mehr gepflegte Komponenten. Ändere von einem sauberen Gerät aus betroffene Verwaltungs-, FTP-/SSH-, Datenbank- und Anwendungspasswörter; aktualisiere benötigte Konfigurationen und widerrufe aktive Anwendungssitzungen beziehungsweise kompromittierte Schlüssel.
Bei WordPress hilft die Anleitung Infiziertes WordPress wiederherstellen. Prüfsummen und Scanner sind ergänzende Prüfungen, keine Garantie für Schadcodefreiheit. Wenn Du die Bereinigung nicht zuverlässig durchführen kannst, hole fachkundige Hilfe. Antworte bei einer lima-city-Sperre auf das Supportticket mit den durchgeführten Maßnahmen, bevor die Seite wieder freigeschaltet wird.
Wie wurden die Inhalte manipuliert?
Oftmals werden durch Viren/Trojaner/Malware die gespeicherten Kennwörter ausgelesen und an kriminelle Hacker gesendet. Diese nutzen dann ein Botnet dazu, um automatisiert die Inhalte auf den Betroffenen FTP-Server zu manipulieren.
Eine andere Methode, die verwendet wird, ist es Sicherheitslücken in Wordpress, phpBB oder sonstiger Software auszunutzen und damit Zugriff auf den Webspace zu erlangen. Besonders betroffen sind dabei oftmals Plugins bekannter Content-Management- und Blog-Systemen.