einbruch der Nutzerzahlen 20.juni

[marc77]

ja, so siehts aus, kennt ihr gute tools um seiten nach links zu scannen?

du kannst deine Seite mit xenu crawlen.

https://home.snafu.de/tilman/xenulink.html

Schaue dann bei den ausgehenden Links. Ich habe gerade versucht deine Seite mit xenu zu crawlen um dir die Seiten mit den externen "hack" Links zu nennen aber da deine Seite wohl bei cloudflare liegt, ist xenu blockiert.

xenu gehört auf jeden Entwickler PC. Wenn eine Seite fertig ist, crawlst du sie selbst und schaust nach 404 etc. Falls du bei cloudflare die xenu Blockierung rausnehmen kannst, wäre die Seite in paar Minuten gecrwalt. In der Liste am Ende siehst du die externen Links, entfernst sie und reichst die Seite ggfs. in den Webmastertools neu ein, falls dort die Hacklinks schon gemeldet sind.

Grüße

[staticweb]

> du musst deine Seite zunächst nicht neu aufsetzen, wenn das Plugin deaktiviert wurde. Du kannst deine Seite mit xenu crawlen

Wenn bereits ein Angriff stattgefunden hat wirst du damit nicht sehen ob im Backend Malware platziert wurde oder ein Backdoor, oder oder oder.

[arnego2]

> Wordpress ist nun einmal die meist beharkte Plattform.

Ist ja auch am weit verbreitesten.

Das glauben viele: Allerdings ist dem nicht so


Quick Facts: WordPress Statistics in June 2024

WordPress powers 43.4% of all websites as their CMS.
Around 474 million websites are built on WordPress.
WordPress dominates the CMS market with a 62.7% share.
There are over 30,000 WordPress themes available.
More than 70,000 plugins are available for WordPress.
WooCommerce is the top e-commerce platform, holding a 35.80% market share.

aus https://www.wpzoom.com/blog/wordpress-statistics/

In 2024, the digital universe houses about 1.09 billion websites. Every day sees the creation of 252,000 new sites.
aus https://www.forbes.com/advisor/business ... tatistics/

Wie viele davon aktuell aktiv sind ist eine andere Frage.

[Hanzo2012]

@arnego2: Ich verstehe deine Aussage nicht. Erst sagst du, dass WordPress nicht das am weitesten verbreitete CMS ist, dann zitierst du eine Aussage, dass WordPress 62,7% Marktanteil hat.

@bongshop: Nur mit dem Entfernen der Links ist es nicht getan. Du musst davon ausgehen, dass der Server kompromittiert wurde, sich der Angreifer eingenistet hat und immer wieder Zugang bekommt, um allerhand böse Dinge mit deinem Server anzustellen (Malware verteilen, Angriffe auf andere Server fahren, illegale Inhalte hosten, ...). Du solltest herausfinden, welche Sicherheitslücke ausgenutzt wurde, um Zugang zu erhalten. Dann setzt du alles neu auf (am besten den ganzen Server neu installieren) und sorgst dabei dafür, dass die Sicherheitslücke nicht mehr existiert. Könnte irgendein WordPress-Plugin sein, eine veraltete Version oder einfach nur ein erratenes Passwort.

[marc77]

Ändere auch sicherheitshalber dein FTP Passwort sowie sonstige Passwörter.
Du kannst mit SSH nach Dateien suchen, die in einem bestimmen Zeitraum erstellt oder geändert wurden. So siehst du, welche Dateien evtl. Hintertüren enthalten oder dazu gekommen sind.

[Hanzo2012]

Ändere auch sicherheitshalber dein FTP Passwort sowie sonstige Passwörter.
Du kannst mit SSH nach Dateien suchen, die in einem bestimmen Zeitraum erstellt oder geändert wurden. So siehst du, welche Dateien evtl. Hintertüren enthalten oder dazu gekommen sind.

Ja, guter Hinweis, um den Zeitpunkt des Angriffs einzugrenzen und dann die Logs gezielt zu durchsuchen.
Theoretisch könnte der Angreifer aber auch seine Spuren verwischt haben. Änderungsdatum/-uhrzeit kann man beliebig manipulieren, wenn man einmal Zugriff auf das System hat.

[arnego2]

@arnego2: Ich verstehe deine Aussage nicht. Erst sagst du, dass WordPress nicht das am weitesten verbreitete CMS ist, dann zitierst du eine Aussage, dass WordPress 62,7% Marktanteil hat.

Ja allerdings nur an CMS Seiten

WordPress dominates the CMS market with a 62.7% share.

[heinrich]

Man kann doch bei WordPress den Zugang zu den Admin-Seiten auf seine eigne IP-Adresse beschränken und wenn man dann noch einen Admin-Namen wählt, der von WP nicht akzeptiert wird, dann kann praktisch nichts passieren!

[staticweb]

> Ja allerdings nur an CMS Seiten WordPress dominates the CMS market with a 62.7% share.

Ja natürlich für CMS Systeme. Eine statische Seite kann man ja schlecht "beharken", wie du es nennst.

[staticweb]

> Man kann doch bei WordPress den Zugang zu den Admin-Seiten auf seine eigne IP-Adresse beschränken und wenn man dann noch einen Admin-Namen wählt, der von WP nicht akzeptiert wird, dann kann praktisch nichts passieren!

Es hat und will nicht jeder eine feste IP. In dem Fall müsstest du ein Script bauen welche diese immer wieder neu bekannt macht.

[heinrich]

Es hat und will nicht jeder eine feste IP. In dem Fall müsstest du ein Script bauen welche diese immer wieder neu bekannt macht.

Was ist das Problem an einer festen IP? Immerhin kann man aber einen Admin-Namen wählen, den WordPress normalerweise nicht akzeptiert.

[Hanzo2012]

Man kann doch bei WordPress den Zugang zu den Admin-Seiten auf seine eigne IP-Adresse beschränken und wenn man dann noch einen Admin-Namen wählt, der von WP nicht akzeptiert wird, dann kann praktisch nichts passieren!

Das hilft nur gegen das Eindringen in die Admin-Oberfläche durch Erraten von Username/Passwort. Wenn aber irgendeine Sicherheitslücke, üblicherweise in einem schlecht programmierten oder gar bösartigen Plugin lauert, dann kann ein Angreifer diese nutzen, um die Seite und ggf. den Server zu kompromittieren, ohne direkt über die Admin-Oberfläche zu gehen.
Guck dir mal deine Server-Logs an und suche nach 404-Antworten (not found). Da wirst du viele Anfragen finden, die genau sowas versuchen, indem sie deine Seite auf bestimmte WordPress-Plugins abklopfen, die bekanntermaßen Sicherheitslücken aufweisen.

[bongshop.de]

Wir hatten alles bezueglich Angriffe mit dem Server durchgesprochen, da war definitiv nichts, die letzte email von google lautetet:

,



Thank you for your extended patience and response.



Investigation:
After checking your query and account with our dedicated team, the most recent system scan detected that the primary declared landing page is affected by an unsafe domain.
wincoinbonus[.]life
Next Steps:



I recommend you remove the malicious links from the website. Consult with your webmaster or web hosting provider to investigate further.
Once the links are removed, resubmit the ads for review.
Use these steps to resubmit the ads for review:
Sign In to your Google Ads account.
Find the ad or assets you want to fix on the "Ads and assets" page.
In the status column you should see “Disapproved” or “Eligible (limited).”
Hover over the status to see the policy violation.
Click Read the policy under the disapproval reason to learn how to fix your ad.
Click the pencil icon to edit your ad.
Edit the ad or asset so that it complies with the policy.
Click Save. Your ad should be automatically reviewed again.
Use this article for further assistance.
If you think that the website is malware free, check the status of your site in Google Search Console. If you haven’t used Search Console before, enter the URL of your website and click "Add a property" to see its status. You may need to verify that you own the site. If Search Console doesn’t report any problems, your site could still have security issues that were detected by Google Ads.
If the website shows malware free on Google Search Console, please share an uncropped screenshot of the same so that we can get it checked by the wider team.
For more detailed information, please read this article.



I trust the information provided has been helpful.



Thank you for your dedication and we appreciate your relationship with us.



Regards,
Elizabeth

wincoinbonus[.]life

[staticweb]

> Was ist das Problem an einer festen IP?

Einerseits die Identifizierbarkeit in speziellen Fällen und andererseits der Angriffsvektor wenn man seinen Anschluss nach außen geöffnet hat.

[bongshop.de]

Diesmal wird nur die Domain wincoinbonus[.]life erwaehnt, dennoch sind alle landingpages betroffen,
https://www.dentist-manila.com/all-on-4-dental-implant/
https://www.dentist-manila.com/location/
https://www.dentist-manila.com/dental-i ... ilippines/
https://www.dentist-manila.com/
https://www.dentist-manila.com/all-on-4-package/

Da es sich nur um eine Domain handelt bei 5 verschiedenen Landingpages, das heisst der Fehler, bzw. die Domain liegt im theme? Wir finden nichts, haben google gefragt, wo genau wir suchen sollen, bisher keine Antwort.