Malware auf 1blu - Domains

[Experte]

Hallo,

seit ein paar Tagen habe ich enorme Probleme mit unseren Domains bei 1blu.
Ständig werden sämtliche index.php Dateien von verschiedenen Installationen (Typolight, Wordpress, PHP-Eigenbau) kolportiert. D.h. Schadcode wird angehängt und beim Aufrufen der Webseiten werden Virenwächter aktiv. Schwerwiegende Trojaner werden auf den Computer heruntergeladen und eine Weiterleitung zu einer Domain in Kiew wird aktiv...

Auf meinem Win XP Rechner hätte ich bereits Viren, wenn ich nicht mit einem eingeschränkten Konto unterwegs wäre. (In den Autostart wurde ein Programm kopiert. CMD wollte aktiv werden, ging aber nicht, da keine Admin-Rechte...)

Da es verschiedene Domains betrifft, die nichts miteinander zu tun haben, kann ich doch davon ausgehen, dass die Bedrohung vom (verseuchten) Server herstammt (und kein gezielter Angriff gerade auf meine Webseiten darstellt)?

Es ist folgende IP-Adresse, an die weitergeleitet wird. Dazu habe ich diesen Link gefunden:

http://www.pforzheimer-rundschau.de/...C3%BCsselt.../

Schmidt: "Ja, das haben wir herausgefunden. Bei der Code-Entschlüsselung sind wir auch auf eine IP-Adressen-Liste gestoßen und haben den Transmitter-Server zurückverfolgt. Und sind auf Kiew in der Ukraine gestoßen. Die Nummer lautet 92.60.177.235. Sie löst sich im ISP W-net Kiew auf. Dieses Rechenzentrum in Kiew ist eine Hackerhochburg, die seit neun Jahren für traurige Schalgzeilen sorgt. Die Palette reicht von einer Millionen geklauten Kreditkartennummern in den USA im Jahre 2001 über die Vireninfizierung britischer U-Boote am 24. Januar 2009 bis hin zum mehrfachen Entschlüsseln des deutschen Bezahlfernsehsenders Premiere/Sky zum Beispiel am 24. März 2009. Mit den Schwarzseh-Karten und -boxen gab es einen regen Handel. Und nun die Fußball-WM."

Schmidt rät: "Allen Server-Betreibern empfehle ich ein Update der Script-Sprache PHP (Hypertext Pre Processor) und den Einsatz des sicheren suPHP. Allen empfehle ich, sich die aktuelle Virensignatur ihres Anbieters herunterzuladen."

[[netcup] Felix]

Erfahrungsgemäß kann ich sagen, dass es vermutlich geklaute FTP-Passwörter sind, die die Manipulation der Dateien ermöglichen. Einfach mal bei 1blu nachfragen, wer sich in letzter Zeit per FTP eingeloggt hat.

Die Zugangsdaten werden auf dem Client meistens durch illegal erworbene und von den Vertreibern manipulierte Software erspäht. Der Vorteil der Vertreiber ist, dass diese Software dann nicht als Virus erkannt wird.