Thema: Sicherheitslücke com_impressum

Hallo liebe Community,

ich habe heute eine schöne mail von Google bekommen und dachte erst das wäre ein Fake aber nein es stimmt. Ich hatte jetzt schon ein mal den Verdacht das was nicht stimmt nach änderungen lief die Seite aber wieder gut. Jetzt habe ich die Mail von Google bekommen und konnte meine Seite via Firefox nicht mehr besuchen.

Grund dafür war ein Code auf der Seite der einen Virus bereitgestellt hatte der sich auf den Rechner laden sollte. Da ich einen sehr guten Virenscanner habe hat der den auch direkt erkannt.

Anscheinend aber ist der Code über die Komponente com_impressum auf meinen Rechner gekommen. Denn laut Google ist genau der Fehler aufgetreten. Allerdings hatte ich auch einen Code von eRecht24.de auf der Seite der wurde auch nicht mehr angezeigt.

Ich bitte alle die diese Komponente haben die Seite zu kontrollieren und im Quelltext nach einem Code zu schauen der unendlich viele Zahlen beinhaltet. Meist steht der am Ende des Quelltextes und fängt mit Array an.

Hab ihr diesen Code drin ladet via FTP eure gespeicherte index.php und aus dem Template die index.php hoch und deinstalliert com_impressum. Ihr werdet sehen das es sich nicht deinstallieren lässt also macht es manuell und entfernt auch alle Einträge in der Datenbank.

Zitat von go-live

Hab ihr diesen Code drin ladet via FTP eure gespeicherte index.php und aus dem Template die index.php hoch und deinstalliert com_impressum. Ihr werdet sehen das es sich nicht deinstallieren lässt also macht es manuell und entfernt auch alle Einträge in der Datenbank.

Ich würde ja eher dazu raten das hier zu machen:
https://www.fc-hosting.de/joomla/tip...la-gehackt.php

Die von dir angegebene Schritte sind leider nicht ausreichend.

Beste Grüße
Snipy

Was sollte ich denn noch machen ausser alle Passwörter zu ändern und eine Rücksicherung meiner Domain zu machen und den schadhaften Code sowie die Komponente zu entfernen.

Das klingt schon erheblich sinnvoller. ;-)
Mein Tipp bezog sich auch eher auf deinen Rat an andere Betroffene - denn nur die beiden index.php's zu löschen ist nicht genug und wird die Problematik nicht dauerhaft lösen.

Hast du mal in die Logfiles geguckt um rauszufinden ob die Lücke tatsächlich in der com_impressum ist?

Beste Grüße
Snipy

Das Ändern sämtlicher Passwörter setze ich als selbstverständlich vorraus. Wenn man weiss das de Seite gehackt wurde ist das ja wohl klar ... aber recht hast Du nicht jeder denkt daran .... und ja es war wohl die Impressum Komponente ... soweit konnte ich das nachvollziehen ...

Zitat von go-live

und ja es war wohl die Impressum Komponente ... soweit konnte ich das nachvollziehen ...

Per Logfile-Auszug? Hast du den Entwickler informiert?

Hallo.
Dann wäre es auch noch nett wenn Du das Angiffsmuster dem Autor der Komponente mitteilst, so dass er den Fehler fixen kann.

OT: Moin Snipy

Bin dabei .... habe gerade erst den Code der Seite wiederhergestellt und Passwörter und co geändert und bin gerade dabei ein neues Impressum zu machen. Sonst gibts nachher wieder mecker ... hatte ich schon mal ....

Faulheit schlägt Logik.