Thema: Achtung Hacker Unterwegs

Hatte ebenfalls das Problem, das im übrigen bei joomlame unter diesem Thread nochmal beschrieben wird.

Der Hinweis weiter oben auf eine versteckte Shell ist richtig. Habe die Seite gestern extern gesichert und gescannt. Avira meldet folgendes:

PHP/C99Shell.A und das in vier Dateien verschiedenen Namens und verschiedener Größe (a.php;lol.php;mikto.php;shell.php). Sie alle lagen im Verzeichnis com_agora/img/members/0 /

in den mail-logs waren dann folgende Einträge zu finden, die sich mehrfach wiederholen:

2009-05-26 15:12:33 xxxxxxxx 4Ag4lq-1M8wSH3Q5P-0008Rt |< REMOTE=217.237.199.58 SCRIPT=/.../index.php -- /usr/sbin/sendmail -t -i

2009-05-27 19:12:58 xxxxxxxx 4Ag4lq-1M9MgU1CAu-0003av |< REMOTE=78.93.140.140 SCRIPT=/.../components/com_agora/img/members/0/a.php -- /usr/sbin/sendmail -t -i
2009-05-27 19:12:58 xxxxxxxx 4Ag4lq-1M9MgU1CAu-0003av WW invalid sender address: ""
2009-05-27 19:12:58 xxxxxxxx 4Ag4lq-1M9MgU1CAu-0003av <= S=cgi-mailer-bounces-24612935@kundenserver.de SZ=476 D=0 SID=24612935
2009-05-27 19:12:58 xxxxxxxx 4Ag4lq-1M9MgU1CAu-0003av =>shalomxmizrahi@gmail.commsmtp.kundenserver.de[172.19.35.7] 250 Message 0MKxQS-1M9MgU1N9Y-0002Ff accepted by mrelayeu3.kundenserver.de