Malware im WordPress Blog – und nun ?

Im Februar 2012 hatte es mich bzw. Onlinelupe.de und ein paar weitere meiner Website schon einmal erwischt. Mit dem Aufrufen der Websites erschien plötzlich die (dezente) Malware-Warnung. Keine fünf Minuten später erreichten mich auch schon die ersten Tweets, Facebook- und Skype-Nachrichten: „Hey, wenn ich auf Deinen Blog möchte, dann bekomme ich eine Malware-Meldung..“. Da ich mich nicht unbedingt als Code-und Malware-Spezialistin beschreiben würde, saß der Schreck erst einmal tief. Wo sollte ich nun nachsehen? Was tun?

Als erstes warf ich einen Blick auf den FTP-Server und versuchte mir erst einmal einen Überblick der Dateien zu machen, die üblicherweise in einer WordPress-Installation auftauchten. Recht schnell fiel mir jedoch auf, dass die htaccess viel größer war, als sie sonst immer war. Üblicherweise ist die bei mir immer 236 KB groß. Nun hatte sie eine Größe von ca. 2.300 KB. Also, htaccess heruntergeladen, angesehen und schon war der „Übeltäter“ auch gefunden.

Die infizierte htaccess beinhaltete nun zusätzliche Code-Zeilen. Darunter auch einen Redirect zu einer russischen Website. Die Hoffnung, dass es mit dem Einspielen der htaccess aus einer Sicherung des Vortages getan war, verglühte jedoch leider recht schnell. Grund: die infizierte htacces stellte sich alle 15 Minuten wieder her.

Die Recherche nach Ursache und Behebung des Problem auf deutschen und englischsprachigen Seiten half leider auch nicht sehr viel und da ich weder die Zeit, noch das Wissen hatte, die Ursache in Detailarbeit zu suchen, entschied ich mich kurzerhand, die aktuellen WordPress-Versionen durch die Sicherungen des letzten Tages zu ersetzen. Das klingt erst einmal recht einfach, nimmt aber bei mehreren Seiten doch einige Zeit in Anspruch. Update: natürlich sollte man zusätzlich die Passwörter des FTP, der WordPress-Benutzer und der Datenbank ändern!

Malware und die Google Webmaster Tools

Gesagt, getan, die Sicherungen „drüber gebügelt“, lief soweit erst einmal alles wieder, ohne dass man auf eine russische Seite weitergeleitet wurde oder sich die infizierte htaccess wiederherstellte. Nun war es an der Zeit Google darüber zu informieren, dass der schädliche Code von den Seiten entfernt wurde. Das macht man über die Google Webmaster Tools.

Dort eingeloggt, springt einem die Malware-Meldung für die betroffene(n) Website(s) direkt ins Auge. Über die Option „Malware entfernen“ kann man schließlich eine erneute Prüfung der Website(s) beantragen. Ich bin mir nicht sicher, wovon die Dauer der Überprüfung abhängig ist. Bei einigen Seiten dauerte das nur wenige Minuten, andere wiederum wurden erst nach einigen Stunden überprüft.

Bestätigt auch Google, dass der schädliche Code entfernt wurde, erscheint schließlich auch keine rot hinterlegte Malware-Meldung mehr, sobald die Website aufgerufen wird.

Malware, die Zweite im April

Nach dem Theater im Februar und dauerhafter Performance-Probleme beschloss ich unter anderem, mal umgehend den Hoster zu wechseln – Alles etwas sicherer, besser, schneller zu machen. Nun muss ich gestehen, dass die Thematik mit schwindendem „Leidensdruck“ zwar noch auf meiner To-Do-Liste stand, aber an Priorität verlor ;-):

Gestern dann der nächste Schreck. Wieder erhielt ich zuerst auf einer anderen meiner Websites und schließlich auch auf Onlinelupe.de die altbekannte Malware-Warnung. Ich hatte zwar nach dem Angriff im Februar versucht, mich unter anderem mit wpAntivirus, LoginLockdown & Co. etwas besser zu schützen. Das hilft jedoch alles nichts gegen Sicherheitslücken in veralteten timthumb-Files.

Sicherheitslücke veraltete Timthumb-Dateien

Diesmal hatte es die index.php unter /wp-content/ erwischt. Auch die war nicht, wie üblich, nur 30 KB groß, sondern war direkt auf 180KB angewachsen. Ein Indikator, dass da etwas nicht stimmen kann. Also wieder Datei heruntergeladen und angesehen.

Üblicherweise steht in dieser index.php folgendes:

<?php
// Silence is golden.
?>

In der infizierten Datei jedoch, befand sich ein iframe mit einer Weiterleitung zu einer unseriösen (schädlichen) Website.

In diesem Zuge auch ein großes Danke an Dennis Farin, der mir gestern diesbezüglich via Facebook helfen konnte und mir einige hilfreiche Tipps gab!  

Auch hier half es leider wieder nichts, die index.php mit einer Datei aus der Sicherung zu überspielen. Also musste ich wieder einmal die kompletten Backups über die aktuelle Installation ziehen.

Wie kann man sich zukünftig schützen?

Da sich Malware dieser Art häufig über veraltete Timthumb-Dateien einnistet, riet mir Dennis gestern zu einem WordPress Plugin names „TimThumb Vulnerability Scan„. Dieses Plugin überprüft die Timthumb-Dateien der WordPress-Installation auf Aktualität bzw. Gefährung und aktualisiert diese mit wenigen Klicks.

Nach dem Aufspielen der WordPress-Backups und der Installation des Plugins lief Onlinelupe.de schließlich wieder und die Überprüfung in den Google Webmaster Tools verlief glücklicherweise auch positiv.

TimThumb aktuell halten

Neben dem TimThumb Vulnerability Scan-Plugin recherchierte ich letzte Nacht dann doch noch nach ein paar anderen Plugins, die bei der frühzeitigen Erkennung von Sicherheitslücken in WordPress bzw. Malware hilfreich sein könnten, da wpAntivirus im gestrigen Fall leider nicht „angeschlug“.

Anti-Malware Plugins für WordPress

Dabei stieß ich unter anderem auf die Plugins wpMal-Watch und Get Off Malicious Scripts (Anti-Malware). Diese beiden werde ich zumindest für die nächste Zeit im Blog laufen lassen und testen. Wenn jemand einen besseren Tipp hat, freue ich mich über Feedback in den Kommentaren!

Serverdaten- und Datenbank-Backups

Generell ist es natürlich überaus wichtig, in solch einem oder einem ähnlichen Fall über halbwegs aktuelle Backups zu verfügen. Dazu lasse ich täglich automatisierte Backups der Daten auf dem Server und Backups der Datenbanken erstellen. Ich will mir gar nicht ausmalen, was ich ohne diese Backups getan hätte.

Die Backups der Server-Daten laufen in der Regeln direkt über den Hoster und sind dort auch konfigurierbar. Für das Backup der Datenbank(en) findet man einige gute DB Backup Plugins bei wordpress.org. Die Auswahl des Plugins hängt auch ein wenig davon ab, wo genau man die Backup-Daten sichern möchten. Manche Plugins sichern diese direkt auf dem Server, andere arbeiten mit Dropbox & Co..

Und nun noch ein neuer Hoster…

Diesen Blog und ein paar weitere Websites habe ich vor 2 Jahren bei 1blu hosten lassen. Damals war mir noch nicht wirklich klar, welche „Formen“ das hier annehmen würde. Auch wenn ich die Malware-Angriffe schlecht meinem Hoster in die Schuhe schieben kann und will, bin  ich Support und Performance nun wirklich leid.

Da ich ein paar andere Seiten über HostEurope laufen lasse und dort sehr zufrieden bin, wird es wahrscheinlich darauf hinauslaufen, dass Onlinelupe.de & Co. dort auch bald einziehen werden…außer jemand hat noch einen anderen unschlagbaren Tipp (entscheidend ist nicht der Preis, sondern Leistung, Performance, Sicherheit und Stabilität) ?

Mein Fazit nach einer langen Nacht

Mein Fazit der ganzen Sache ist so simpel wie altbekannt: nur Daten, die aktuell gehalten werden und regelmäßige Backups können Deinen WordPress Blog vor großen Katastrophen schützen! 

Das ist, weiß Gott, keine Weltneuheit. Man kann es jedoch nicht oft und eindringlich genug betonen. Gern wähnt man sich auch im Glauben „Ach, passiert mir nicht“. Dann lass Dir gesagt sein: „Doch, früher oder später kann es auch Dich erwischen!“.

Damit will ich keine Ängste schüren, jedoch ist der Nervenzusammenbruch praktisch schon vorprogrammiert, wenn Du irgendwann auf eine infizierte WordPress-Installation blickst und keinen Plan B (=Backup) aus dem Ärmel schütteln kannst.

Ein paar hilfreiche Artikel zu Viren, Malware und Backups aus anderen Blogs

• Erste Hilfe für den WordPress Blog-Hack – blogprofis.de
• Behandlung von Malware-Problemen in WordPress – fene-blog.de
• Gema-Virus im WordPress-Blog – officetrend.de
• WordPress Backup – Wohin mit den Daten? – zweidoteins.de
• Backup-Plan für WordPress-Webseiten – elmastudio.de