Und täglich grüßt das Murmeltier

Leute, ich bin es leid. Zum wiederholten Male ist das Bestatterweblog.de Ziel einer Malware-Attacke geworden. Ihr werdet es zum Teil selbst gesehen haben, immer wieder tauchen Casino-Beiträge auf.

Ich bin machtlos dagegen. Ich habe alles, aber wirklich alles versucht, um der Sache Herr zu werden. Aber letztlich hat nichts gefruchtet.

Ich möchte mich in aller Form bei Euch, meine lieben Leserinnen und Leser, dafür entschuldigen, dass hier immer wieder dieser Müll angezeigt wird. Es tut mir wirklich leid.

Jede Maßnahme, die ich versuche, bringt für einige Tage, manchmal ein bis zwei Wochen Erfolg. Dann finden die Angreifer wieder neue Schlupflöcher und die Schei*e ist wieder da.
Ich hatte ja schon ein paar Mal davon berichtet und einige von Euch haben mir auch sehr gute Tipps gegeben, was man alles noch tun kann und was sie in solchen Fällen taten, täten oder tun.
Soweit praktikabel habe ich diese Ratschläge auch umgesetzt. Darüberhinaus habe ich einen Ar*ch voll Geld für Sicherheitssoftware ausgegeben.
Alle Plugins, die man sonst so kostenlos von der Stange bekommt, wurden durch eigens für das Bestatterweblog geschriebene, sichere Varianten ersetzt. Es wurde eine Zwei-Faktor-Verifizierung eingerichtet.
Die komplette Installation des Blogs auf dem Server wird rund um die Uhr von Monitoring-Programmen überwacht.
Unnötige Funktionen wurden (teilweise bis auf weiteres, teils auf Dauer) abgeschaltet. Deshalb gibt es bis auf weiteres auch keine Newsletter(-Funktionen) mehr.

Die Attacken sehe ich, wenn ich Glück habe, indem ich feststelle, dass in die WordPress-Installation fremde Files hochgeladen wurden. Diese heißen immer so ähnlich wie echte Dateien, sind aber stets ungewöhnlich groß.
Mittels eines Tools konnte ich feststellen, dass diese Files einen Filemanager enthalten, der es dem Angreifer erlaubt:

– beliebige Dateien hochzuladen
– direkt in die Datenbank zu schreiben
– sämtliche Veränderungen vor angemeldeten Usern/Admins zu verstecken
– nach Belieben neue Admins in WordPress anzulegen
– die Sicherheitssoftware einfach abzuschalten

Ich weiß nicht, was ich noch machen soll!

Die Folge ist immer ähnlich, aber nicht immer gleich. Für den Leser tauchen halt diese unsäglich blöden Casino-Beiträge auf.
Hinter den Kulissen sieht das immer wieder ein bisschen anders aus, jeweils angepasst an die hier ja immer schärfer werdenden Sicherheitsmaßnahmen.

Anfangs wurden Listen mit Tausenden von Casino-Beiträgen hochgeladen und mittels einer gefälschten Sitemap mit den echten Beiträgen verlinkt.
Dann wurden nur noch die Verlinkungen erzeugt, sodass alle Verweise vom Bestatterweblog auf solche Inhalte führten.
Mehrere Male wurden tatsächlich bis zu 20.000 Casino-Artikel in die Datenbank hochgeladen.

Backups helfen hier nur begrenzt, denn das Bestatterweblog schreibe ich jetzt schon 20 Jahre für Euch und es sind weit über 10.000 Artikel und über 150.000 Kommentare in der Datenbank. Das alles zu sichern, ist mit den üblichen Programmen wie Updraft & Co. kaum möglich, die brechen regelmäßig ab.
Geglückte Backups sind auch nur ein Glücksspiel, denn zwischen Infiltration und Ausführung des Angriffs liegen oft viele Tage und es ist ohne weiteres nicht herauszufinden, welches Backup man safe einspielen könnte.

Was bleibt: Ich muss händisch die gesamte WordPress-Installation durchgehen und Dateivergleiche anstellen. Das Gleiche gilt für Plugins und Themes. Dann muss ich ebenfalls händisch die bis zu 20.000 Dreckseinträge löschen.
An umfangreiche Datenbankoperationen, mit denen man das evtl. in einem Rutsch machen könnte, traue ich mich nicht ran. Mir ist das Risiko zu groß, das schöne Blog zu zerschießen.
Also nutze ich hierfür ein Delete-Plugin, mit dem ich aber immer nur maximal 400 Beiträge auf einmal löschen kann, was dann in eine „Syphillis-Arbeit“ ausartet.

Wenn irgendeiner von Euch noch irgendeine Idee hat…. Ich bin für jede Hilfe dankbar!

Euer
Peter

Ich habe noch einmal die wichtigsten Schlagwörter (Hashtags) dieses Artikels für Sie zusammengestellt, damit Sie sich besser orientieren können: