Index.php - PHP/Botloader.B ... vorher Befall mit MediaShift Trojaner

Thorsten0815

Servus!

Lang langem Kampf muss ich mich doch hier anmelden.

Hatte mir den Media Shift(ing) Virus eingefangen.
Habe einige Anleitungen hier im Board durchgemacht, das wären Scans mit:

- Malwarebytes
- Spyware Terminator
- Super AntiSpyware

Sowie Scan mit Avira Rescue über Linux-Boot-CD.

Seitdem tut sich in Sachen selbständigem Browser etc nichts mehr, scheint alles erledigt zu sein.
Passwörter über mein iPad hab ich auch geändert. Da Onlinebanking hab ich meine Bank informiert.

Nun wollte ich heute unsere Firmenhomepage erweitern (Joomla 1.6.6, 1und1 Webspace) und da fällt mir auf, dass die Vorschaufunktion nicht klappt, also die Seite / Fronend läd eeeeewig.

Nach langem rumgegoogle wollte ich mal in die index.php schaun, kaum runtergeladen springt der Avira Guard an:

Index.php - PHP/Botloader.B

Da ich eine gezippe Backup-index.php hatte, hab ich die vom Server gelöscht und die "saubere" hochgeladen.

Was mir gleich aufgefallen ist:

Auf der Platte ist die index.php 1.444 Bytes groß, sobald hochgeladen ändert sich die Größe auf 1.389 Bytes.
Inwiefern das jetzt was damit zu tun hat kann ich nicht sagen.

Jedenfalls nach dem Austausch der Dateien lief die Homepage wieder superflott.

Nach einer Stunde ungefähr lad ich die index.php testweise nochmal runter und zack geht Avira wieder an.

Selbe Meldung wie oben - Index.php - PHP/Botloader.B

FTP Passwörter + Joomla Login Passwörter alles vom iPad gewechselt und nicht am PC eingegeben.
Daher kann es doch nur sein, dass irgendwo auf dem Webspace ein Schädling sitzt, der meine index.php konstant umbaut?

Bitte um Hilfe, sowas hab ich echt noch nicht erlebt.


*edit

Berechtigung hab ich jetzt mal auf 444 read only gesetzt.