[HILFE] Google meldet Seite als attackiert?

xero7 · 20.12.2010

Guten Abend,

ich hab ein Problem. Mein Onlineshop wurde als gemeldete Seite eingetragen. Demnach kommt bei jedem Besuch sofort ein Warnfenster. Bei näheren Informationen bekommt man dann folgende Meldung.

Bei 2 Seite(n) von insgesamt 4 Seiten dieser Website, die wir in den letzten 90 Tagen getestet haben, wurde festgestellt, dass Malware (Schadsoftware) ohne Einwilligung des Nutzers heruntergeladen und installiert wurde. Der letzte Besuch von Google auf dieser Website war am 2010-12-19 und verdächtiger Content wurde auf dieser Website zuletzt am 2010-12-17 gefunden.Die Malware wird in 3 Domain(s) gehostet, darunter , , .
Bei der Verteilung von Malware an Besucher dieser Website fungieren anscheinend 2 Domain(s) als Überträger, darunter , .

Anscheinend ist die Seite mit Maleware befallen, wenn ich es richtig gelesen habe. Doch wie kann ich diese nun entfernen. Habe auf dem Webspace keine komischen Dateien gefunden. Und in der index.php ist auch kein iframe oder sonstiges. Welche Möglichkeiten habe ich nun?

Liebe Grüße

MyBad · 20.12.2010

AW: [HILFE] Google meldet Seite als attackiert?

Der Schadcode kann sich auch direkt in deinen PHP-Files eingenistet haben. Das hatte ich auch schon mal auf einer meiner Seiten. Hatte dann alle Dateien von Hand durchsucht und die Schadcodes entfernt...

xero7 · 20.12.2010

AW: [HILFE] Google meldet Seite als attackiert?

Bin schon dabei. Doch 300 Dateien zu durchsuchen wird nicht leicht sein. Zudem habe ich in den Hauptdateien nichts gefunden. Kein Frame, keine Metaangaben oder javascript. komisch, komisch.

MyBad · 20.12.2010

AW: [HILFE] Google meldet Seite als attackiert?

Ich rate dir zu den Webmaster-Tools von Google (falls du diese noch nicht nutzen solltest). Damit kannst du deine Seiten checken. Ich meine der zeigt dir auch an, an welcher Stelle die Malware gefunden wurde. Also nicht die Datei aber der genaue link. Dann kannst du die Suche zumindest schon ein wenig eingrenzen.

Der_Pferdeknipser · 20.12.2010

AW: [HILFE] Google meldet Seite als attackiert?

Manchmal reichen schon Gästebucheinträge um bei Google auf den Index zu kommen.
Hier schon mal nachgelesen?

LG
peter

xero7 · 20.12.2010

AW: [HILFE] Google meldet Seite als attackiert?

Vielen Dank für die Antworten.
Ich besitze das Google Webmaster Tool. Doch die Funktion, dass er mir anzeigt, wo der Fehler liegt habe ich nicht gefunden. Habe lediglich die Funktion gefunden, die die Seite nochmal überprüft. Dabei muss man jedoch zustimmen, dass man den Fehler schon beseitigt hat...

Liebe Grüße

MyBad · 20.12.2010

AW: [HILFE] Google meldet Seite als attackiert?

Diagnose -> Malware

Gruß
Tim

xero7 · 20.12.2010

AW: [HILFE] Google meldet Seite als attackiert?

Aber da muss man bei Überprüfung bestätigen, dass man es entfernt hat...

Der_Pferdeknipser · 20.12.2010

AW: [HILFE] Google meldet Seite als attackiert?

Am schnellsten bist du fertig, wenn du die saubere letzte Sicherung hoch lädst.

Gelöschtes Mitglied 345460 · 20.12.2010

AW: [HILFE] Google meldet Seite als attackiert?

Hallo,
hab auch mal ne Seite bereinigt, die hatte ich als Sicherung auf dem PC, PHP und Javascriptdateien (.js) waren komplett befallen... Tipp, ändere auf jeden Fall das FTP-Kennwort, dauerte eine Woche, war die Seite wieder befallen, nach dem ändern nun nichts mehr... Seite seit über einem halben Jahr sauber... Der script hat sich auf den php.Seiten immer am ende eingenistet als Zusatz unter die eigentliche Programmierung...

Crackp0t · 21.12.2010

AW: [HILFE] Google meldet Seite als attackiert?

An deiner Stelle würde ich der Ursache des Ganzen auf den Grund gehen -> Wie hat der Angreifer Kontrolle über meinen Webspace erlangt? Notfalls führst du einen Penetration Test gegen deinen Shop aus oder beauftragst jemanden dafür.
Setze dich auch mal mit dem Hoster des Webspace in Verbindung, es könnte auch an der Serversoftware liegen.

MyBad · 21.12.2010

AW: [HILFE] Google meldet Seite als attackiert?

Ich vermute mal es liegt an der Einstellung des PHP_SAFEMODE. Wenn du dann noch ein paar unsichere Skripte laufen hast, bist du schnell Opfer einer Attacke...

Pionierbrigade70 · 21.12.2010

AW: [HILFE] Google meldet Seite als attackiert?

Nach meiner Erfahrung liegt es meist an der Verwendung von unsicheren Java Scripts.
Hier nutzen die Angreifer ein Lücke und nisten sich lokal ein. Wird die Seite lokal geöffnet nistet sich der Schädling ein und danach auf den Server geladen sind die Schädlinge auf dem Webspace. Wenn ein Nutzer die Seite anklickt wird er gewarnt. Er hat dan die Möglichkeit die Seite an Google zu melden. Danach wird die Seite geprüft und eine Meldung wird erstellt die bei jedem Aufruf der Seite in der Suche erscheint.
Mit Webmastertool kann ich feststellen welche Inhalte es sind. Hier hilft nur von Hand diese Eiträge - welche sich in aller Regel am Ende des Scriptes befinden zu löschen in Form eines Links. (oben wurden ja die Täter schon ausgemacht)
Oder eine Sicherung die nicht befallen ist neu zu laden- vorher die alte vom Server löschen.
Danach wieder wie schon beschrieben die Seite zur Prüfung anmelden bei Webmastertool um die sg. rote Karte Kopromitierte Webseite) wegzubekommen.
Ich kann auch die Hp prüfen lassen un bekomme dan eine Auswertung dei ich auch lokal speichern kann in Form einer excel Tabelle.
Hier sehe ich dann welche Seiten wie befallen sind -- glaube es war Malwaresuche in Webmastertool.

Crackp0t · 21.12.2010

AW: [HILFE] Google meldet Seite als attackiert?

Sorry, aber die Javascript-Theorie wie du sie schilderst ergibt wenig Sinn.

Wird Javascript auf dem Client ausgeführt, wie soll die Malware denn vom Client auf den Server kommen? Es muss dafür zumindest in eine Datei auf den Server geschrieben werden und das geht nur mit einer serverseitigen Applikation, sei es jetzt ein PHP Script oder ein FTP-Service. Damit liegt die Schwachstelle immer auf der Serverseite.

Erst wenn die Serverapplikation infiltriert ist, lässt sich (unter anderen) mit Javascript arbeiten um so auf den Clients ein Exploit auszunutzen und eine Codeausführung oder andere Attacke zu starten.