[cleaner]

ich schaue heute morgen auf meinen server (ftp) und entdecke insgesamt HUNDERTE html-dateien, die nicht von mir sind
und die aussehen, als wären sie automatisiert angelegt worden. es handelt sich dabei um spam/malware etc, die
versucht, auf eine antiviren-seite (gefaketer computer-test) umzuleiten.
das schlimme: auch meine bisherigen html-seiten sind exakt alle am 17.07.2008 geändert worden. im quelltext sind
etliche verlinkungen etc. untergebracht worden.

ich habe in einem unterverzeichnis meiner site auch einen wordpress-ordner (mein blog) ... und vermute nun, dass ich zwischendurch mal ein wordpress-sicherheitsupdate hätte machen sollen ...

wie erklär ich mir das ? auf welche weise ist es möglich, dass sich duplikate meiner html-dateien - nur halt im namen leicht kryptisch verändert - auf meinem server anlegen können ???

hier ein screenshot eines ftp-verzeichnisses bei mir:
//edit: deleted


ich habe eine solche seite mal aufgerufen und folgendes bekommen:




hat jemand mal was ähnliches auf seinem ftp erlebt ? was sind jetzt die "steps to take" ?

[Zim]

Ist nur das Verzeichniss des Blogs betroffen oder finden sich die geänderten Daten auch in anderen Verzeichnissen?

Wo steht der Server, also ist das ne housing Lösung oder nur gemietet. Beim letzten Fall erst mal mit den Leuten sprechen die den vermieten – aber auf jeden Fall schnell die Behörden benachrichtigen, schon zu deiner eigenen Sicherheit, man kann ja nie wissen wohin das noch alles hinverlinkt.

[cleaner]

server ist gemietet. das ganze ist auch in verzeichnissen oberhalb/ausserhalb des wordpress-blogs geschehen.

[Zim]

Dann würd ich sagen sind die Anrufe beim SP und bei der Kripo dringend fällig.

Den Hacker wird man zwar so nicht bekommen aber es ist wichtig um dich abzusichern.

[cleaner]

ich checke täglich meine statistiken. heute ist mir folgender eintrag/verweis aufgefallen:

http://www.games.500job.com/data/0033-1.html

(vorsicht - die seite ist lang !)

habe daraufhin mal ein paar der dort gelisteten deutschen betroffenen seiten herausgefiltert und eben gerade
bei einigen angerufen. einem einzigen war das problem bisher aufgefallen.

kurz zwischengeschoben: die lapidare antwort meines providers auf anfrage, wo die schwachstelle liegen könnte, war:

[aUDIOfREAK]

hast du schon mal in die logfiles von deiner kiste gucken können? daran kann man wohl am besten feststellen, was genau gelaufen is... ansonsten kann das natürlich gut an einer sicherheitslücke in einer veralteten wordpress-version liegen...