Thema: PHP/C99Shell.B

Hallo zusammen,

ich habe bis vor kurzem ein Joomla CMS (neueste Version) betrieben, welches dann aber offenbar einem fiesen Hack zum Opfer fiel:
Mein Provider hosteurope sperrte mir den Webspace mit der Aufforderung, das Problem zu beheben: Daraufhin habe ich die Seite erstmal gelöscht.

Ich habe jetzt einen Datenbankabzug und das Webverzeichnis - ein Virenscan fördert den Virus PHP/C99Shell.B zutage (/joomla/cache/nl.php).

Ich habe mir jetzt überlegt, die Seite offline in Betrieb zu nehmen, falls man die Seite irgrndwie säubern kann. Anschließend würde ich gerne auf Joomla 1.5 wechseln, die Pony ML-Komponente aktualisieren sowie die Schreibrechte auf dem FTP eventuell anpassen (die waren vorher eventuell zu sorglos gesetzt).

Dazu habe ich jetzt ein paar Fragen:

1. Wie nehme ich die Seite offline in Betrieb (Stichwort Datenbank, liegt als sql-Datei vor)?
2. Besteht überhaupt die Möglichkeit, den Schadcode zu lokalisieren und unschädlich zu machen?
3. Würde ein Upgrade auf Joomla 1.5 die Sicherheit entscheidend erhöhen oder was ist hier das wesentliche Sicherheitsrisiko?

Ich hoffe, ihr könnt mir ein wenig helfen, weitere benötigte Infos stelle ich bei Bedarf gerne zur Verfügung!

PS: Echt traurig, dass aus mutmaßlich purer Langeweile einfach so eine Webseite angegriffen wird. Seit 2001 war meine Seite nun online aber naja...

Danke für die schnelle und kompetente Antwort!

1. Ok ich werde das mal hier recherchieren, das sollte nicht so schwer sein.

2. So wie es aussieht, hat hosteurope den Befall erst spät gemerkt und somit sind mutmaßlich alle Sicherungen, die ich habe, ebenfalls infiziert.
Ich habe aber noch ein paar mehr oder weniger aktuelle Dateisicherungen, so dass ich zumindest die befallene nl.php ersetzen könnte. Was ist das überhaupt für eine Datei? Oder wurde diese vielleicht extra eingeschleust? Muß eventuell auch die Datenbank bereinigt werden (hiervon besitze ich eher keine aktuelle Sicherung)?

3. Ich denke, ein Upgrade wird aufgrund meines Wissensstandes die einzige Möglichkeit sein, eine ggf. vorhandene Sicherheitslücke zu schließen.

So die betroffene Datei habe ich entfernt (war im Cache-Verzeichnis, welches ich bei der Gelegenheit direkt geleert hab). Habe auch nach den von dir genannten Schlagwörtern gesucht, da habe ich nichts gefunden.

Eine Frage zum Cache: Gibt es da auch sicherheitsrelevante Einstellungen, die man beachten sollte?

Anschließend habe ich alle Schreib- und Leserechte so angepasst, wie es allgemein empfohlen wird und die configuration.php auf chmod 444 gesetzt.

Alle Komponenten, die ich nicht mehr benötige, habe ich rausgeschmissen und die Seite wieder online geschaltet. Mal schauen, ob es jetzt noch Probleme gibt.

Mit dem Upgrade auf Joomla 1.5 muss ich warten, bis auch die Ponygallery ML bzw. deren Nachfolger kompatibel wird, denn das ist die Hauptkomponente meiner Seite.

Vielen Dank für die Tipps!

Danke nochmals! Die Seite ist wieder online und die Sicherheitslücke (Event-Komponente) ist entfernt.