Thema: merkwürdige Werbung ist zurück

Hallo,

wir hatten auf unserer kleinen Firmenwebsite vor einiger Zeit ein problem. Dabei wurde bei google und anderen Suchmaschinen jede Menge ****** Werbung (potenzmittel) in Zusammenhang mit unserer Index Seite angezeigt. Darauf hin haben wir die Website vom Netz genommen, das CMS aktualisiert, eine neue DB aufgesetzt und den verschandelten Code und die Datenbank bereinigt. Das ganze ist seit kurzer Zeit wieder online und was ist passiert?

richtig, ****** werbung ist wieder da.

Ich habe einfach keine ahnung wo das ganze herkommt. das CMS ist auf dem aktuellen stand, Version 1.5, die datenbank bei 1und1 ist auch aktuell. Bin hier etwas am verzweifeln.

Hat irgendjemand eine idee wie man so etwas vermeiden kann?

Könnte es irgendwie mit der .htaccess zu tun haben? Ich vermute das es nicht an den backend systemen liegt sondern das irgendwas bei joomla falsch eingestellt ist. Hätte jemand eine Idee?

vielen Dank

Stefan

Hi,

ich fürchte, das ist ein Fall für Flottes Liste, die Du in 2.6. der FAQ findest. Schau vorab mal im Quellcode Deiner Seiten nach Iframes.

hth

albatros

Hallo @Stefbar

Es kann auch durchaus sein, dass der PC womit die Daten und Logins zur Seite gewuppt werden, verseucht ist ... so schleichend kommen die z.B. bei einem verseuchten PC wieder in den Umlauf.

P.S. Wenn es eine recht einfache Seite ist die du wohl eher selten besuchtst um etwas zu ändern, schreib dir doch einfach auf, wann du dich in die Seite eingeloggt hast. Wenn du dann Probleme hast kannst du in den logfiles besser nach Loginversuchen von Außen schauen ...

Zitat von Stefbar

Darauf hin haben wir die Website vom Netz genommen, das CMS aktualisiert, eine neue DB aufgesetzt und den verschandelten Code und die Datenbank bereinigt. Das ganze ist seit kurzer Zeit wieder online und was ist passiert?

Ihr habt mglw. eine Backdoor übersehen oder einen Schädling auf Eurem PC der die Passwörter ausspioniert und weitergibt.

Da muss nicht mal großartig etwas installiert werden ... solch Angriffe bzw. die Programme die Passwörter usw. weiterleiten, sind so winzig klein ... das ist in wenigen Sekunden geschehen ...

OK, dann bliebe noch die Backdoor auf dem Web.
Alle installierten Erweiterungen (auch nicht genutzte) waren seit dem letzten Hack immer aktuell und ohne bekannte Sicherheitslücke? Durchsuche mal secunia.com und exploit-db.com nach den Erweiterungen, die ihr installiert habt.

Ich hatte neulich mal das (fast) das gleiche Problem.

Der Angriff erfolgte per ftp und es wurden alle index.html und index.php Dateien mit einem iframe versehen.

Das Problem: Ein Trojaner auf meinem PC, den ich erst mit einem Online-Virenscanner gefunden habe... Den PC habe ich komplett neu installiert, nochmals alle Passwörter geändert und vorsichtshalber den ftp-User auf einen leeren Ordner angelegt, in dem nur eine fake index.html Datei liegt, um zu sehen, ob es wieder versucht wird.

Seitdem habe ich Ruhe und alles funktioniert wieder so, wie es soll :-)


Gruß,
Mitch