northgate-advisors.com

Eine Kopie der Hauptkonfigurationsdatei von WordPress wurde im öffentlichen Ordner mit einer anderen Dateiendung hinterlassen. Da die Dateiendung nicht .php, der Server führt sie nicht aus, sondern gibt den Text weiter. Wenn man diese Adresse über das Internet aufruft, wird die gesamte Datei zurückgegeben, die den Datenbanknamen, den Datenbankbenutzer, das Datenbankpasswort sowie alle neun Authentifizierungsdaten enthält Schlüssel und Salze, sowie den Mailgun-Versandschlüssel. Wir haben bestätigt, dass die Datei am 30. Juli 2026 bereitgestellt wurde, und haben keine Kopie ihres Inhalts aufbewahrt.

Was das in der Praxis bedeutet. Der E-Mail-Schlüssel ermöglicht es jedem, E-Mails zu versenden, die scheinbar von Ihrer Domain stammen – eine fertige Phishing-Möglichkeit gegen Ihre eigenen Kunden. Die Authentifizierungsschlüssel ermöglichen es einem Angreifer, Sitzungen und Formulare zu manipulieren. Das Datenbankpasswort ist zwar dadurch eingeschränkt, dass Ihre Datenbank nur Verbindungen vom Server selbst akzeptiert und der Datenbankport von außen nicht erreichbar ist – was wir überprüft haben –, sodass es nicht direkt über das Internet nutzbar ist, aber es wird sofort für jeden nutzbar, der sich auf diesem Server einen Zugang verschafft.

In vier separaten Ordnern befinden sich Kundendokumente, die der Webserver jedem zur Verfügung stellt, der danach fragt. Wir haben überprüft, dass jeweils eine Datei aus jedem Ordner erfolgreich aus dem öffentlichen Internet heruntergeladen werden kann, und haben keine davon behalten.

• 5.606 Steuerunterlagen in uploads/client-statements/, benannt in einer einfachen Folge (statement_5393.pdf, statement_3084.pdf). Der Ordner ist nicht geschützt, und die Nummerierung lässt sich leicht erraten, sodass der gesamte Bereich durchlaufen werden kann. Automatisierte Scanner tun dies routinemäßig.
• 27 Rechnungen in wp-content/billing_invoices_temp/, mit dem Namen invoice-4395.pdf und Ähnliches, das ebenso leicht zu erraten ist. Der Ordner enthält zwar eine Zugriffsregel, diese ist jedoch für Apache geschrieben, während Ihre Website auf Nginx läuft, sodass sie keine Wirkung zeigt.
• 1.113 Dateien, die über Ihre Formulare eingereicht wurden in uploads/fluentform/.
• 1.248 Anhänge in 248 Support-Ticket-Ordnern in uploads/fluent-support/. Dies sind die sensibelsten der vier Datensätze: Schon allein die Dateinamen, die in der Adresszeile zu sehen sind, lassen auf Steuerbescheinigungen, Kontoauszüge, Versicherungspolicen und Übersichten über Anlagekonten schließen, jeweils neben dem Nachnamen eines Kunden.

Ein Unterschied ist entscheidend dafür, wie dringend die einzelnen Datensätze sind. Die Steuerunterlagen und Rechnungen sind fortlaufend nummeriert, sodass jeder sie auflisten kann, ohne etwas über Ihre Website zu wissen. Die Formular- und Ticketdateien enthalten eine zufällige Zeichenfolge in ihren Namen, sodass sie nicht einzeln erraten werden können, aber auch hier gibt es keine Zugangsbarriere: Der Name allein reicht aus, und Namen werden über den Browserverlauf, Referrer-Header, geteilte Links und an jeden weitergegeben, der Zugriff auf die Datenbank hat. Unbekanntheit ist kein Schutz.

Es handelt sich hierbei um Steuer-, Abrechnungs- und Korrespondenzdaten von Kunden, die gemäß der DSGVO als sensible personenbezogene Daten gelten. Gehen Sie davon aus, dass ein unbefugter Zugriff tatsächlich stattgefunden hat und nicht nur theoretisch möglich ist, da die Website im selben Zeitraum ebenfalls unter der Kontrolle der Angreifer stand.

Ihr Sicherheits-Plugin versucht zwar, die Ausführung von PHP-Dateien im Medienordner zu verhindern, tut dies jedoch mithilfe einer .htaccess-Regel, und .htaccess-Dateien sind eine Apache-Funktion, die von nginx vollständig ignoriert wird. Jede Regel dieser Art auf dieser Website ist wirkungslos, einschließlich dieser.

Wir haben dies direkt überprüft. Eine vorhandene PHP-Datei im Ordner „media“ wurde über das Internet angefordert, und der Server führte sie aus, anstatt ihren Text zurückzugeben. Die Schutzregelprüfung Ihrer Website kam am 27. Juli zu demselben Ergebnis: Die Ausführung von PHP im Ordner „media“ wird nicht blockiert.

Das ist wichtiger, als es zunächst klingt. Die am 28. Juli entdeckte Hintertür war eine PHP-Datei, die sich genau in diesem Ordner befand und mit einem GIF89a Header, damit die Datei beim Hochladen als Bild erkannt wird. Durch das Löschen dieser Datei wurde das Problem behoben. Solange das Hochladen von Dateien möglich ist, führt die nächste Schwachstelle beim Hochladen von Dateien in einem Ihrer 54 Plugins erneut zum gleichen Ergebnis.

Drei Konten mit vollständigen Administratorrechten haben sich zwischen dem 22. und 23. Juli auf der Website angemeldet. Ihre E-Mail-Adressen geben Aufschluss über die verwendeten Tools: shellcode.lol, shelltool.invalid, sowie einen maschinengenerierten Namen unter einer plausibel wirkenden Domain. Beide konnten sich beim ersten Versuch erfolgreich anmelden, ohne dass zuvor fehlgeschlagene Anmeldeversuche stattgefunden hatten, was das Erraten von Passwörtern ausschließt und bedeutet, dass die Konten von der Person erstellt wurden, die sie anschließend genutzt hat.

Ihr Team hat alle drei zwischen dem 23. und 26. Juli gelöscht, und heute gibt es keinen unerwarteten Administrator mehr. Das ist das richtige Ergebnis, aber ein Konto mit Administratorrechten kann alles tun, bevor es entfernt wird: ein Plugin installieren, Theme-Dateien bearbeiten, die gesamte Datenbank auslesen, Kundendaten exportieren. Gehen Sie davon aus, dass all das in diesen Tagen möglich war.

Am 28. Juli um 01:03 Uhr hat der Malware-Scan Ihrer Website eine Datei im Medienordner als bösartig mit einem Schweregrad von 100 identifiziert. Die Datei war so getarnt, dass sie wie ein Bild aussah (sie begann mit dem Text GIF89a) und sein Code setzte die Namen gefährlicher Funktionen Buchstabe für Buchstabe zusammen, um Scanner zu umgehen. Bei diesen Funktionen handelte es sich um solche, die das Annehmen einer hochgeladenen Datei, das Schreiben von Dateien auf die Festplatte und das Ausführen von Systembefehlen ermöglichten. Einfach ausgedrückt: ein Tool, mit dem man beliebige Dateien hochladen und Befehle auf Ihrem Server ausführen konnte.

Die Datei ist heute von der Website verschwunden, und wir haben bestätigt, dass die Adresse nun eine „Nicht gefunden“-Meldung zurückgibt. Die Warnmeldung ist jedoch weiterhin als neu und unbehandelt erfasst, und die Benachrichtigungsfunktion war zu diesem Zeitpunkt mit einer gültigen Empfängeradresse aktiviert, sodass am 28. Juli jemand eine E-Mail dazu erhalten haben müsste. Der gleiche Scan listet außerdem 35 veraltete Plugins und Themes auf, von denen ebenfalls keines bestätigt wurde.

Auf der obersten Ebene Ihrer Website ist ein eigenständiges Diagnosetool installiert. Wir haben am 30. Juli überprüft, dass die Adresse korrekt ist. Es ist kein Bestandteil von WordPress und nutzt keine WordPress-Anmeldedaten, sondern ist durch ein eigenes, individuelles Passwort geschützt. Das Tool kann Ihr Debug-Protokoll auslesen, Ihre Hauptkonfigurationsdatei überschreiben und den vollständigen Text von Datenbankabfragen aufzeichnen, weshalb SAVEQUERIES in Ihrer Konfiguration aktiviert ist und warum sich eine Datenbank-Protokollierungsdatei in wp-content.

Der Text einer Datenbankabfrage ist kein harmloser Inhalt. Er enthält Passwort-Hashes, Sitzungskennungen und alles, was über Ihre Formulare übermittelt wird – was bei dieser Website auch Kundendaten umfasst. Zwei weitere Details verschlimmern die Situation noch: Die Konfigurationssicherung, durch die Ihre Anmeldedaten in C-1 offengelegt werden, wurde mit genau diesem Tool erstellt, und Ihr Malware-Scanner ist ausdrücklich so konfiguriert, dass er dieses Verzeichnis überspringt – es ist also der einzige Ort auf der Website, der von keiner Überprüfung erfasst wird.

Wir haben den Code überprüft und kein verstecktes böswilliges Verhalten festgestellt: Die sensiblen Vorgänge sind durch ein Passwort und ein Anfrage-Token geschützt. Das Problem ist nicht, dass die Anwendung böswillig ist, sondern dass sie auf einer Produktionswebsite vorhanden ist, die Steuerdaten verarbeitet.

Ihr Hauptadministratorkonto weist derzeit acht gleichzeitig angemeldete Benutzer auf Sitzungen, alle von der Adresse 192.0.2.117 (ein Hosting-Anbieter, keine Büroverbindung), die sich alle als node anstelle eines Browsers. Sie wurden paarweise am 23., 24., 26. und 28. Juli erstellt und sind bis zum 11. August gültig.

Diese wurden nicht dadurch erstellt, dass jemand ein Passwort eingegeben hat: Das gespeicherte Passwort dieses Kontos liegt noch im älteren Format vor, und WordPress aktualisiert das Format automatisch, sobald zum ersten Mal ein korrektes Passwort verwendet wird. Es gibt also etwas, das Administrator-Sitzungen programmgesteuert erstellt. Wir haben die Verwaltungsverbindung unter WP Umbrella ausgeschlossen, da diese andere Adressen verwendet und anders funktioniert.

Die wahrscheinlichste Erklärung ist Ihre eigene Integration, da auf der Website ein Benutzerkonto namens „PortalApp“ existiert. In diesem Fall wäre dies ein zu erwartendes Verhalten bei mangelnder Sicherheit. Die Alternative wäre, dass es sich nicht um Ihr Konto handelt; in diesem Fall handelt es sich um einen permanenten Administratorzugang. Von außen können wir diese Fälle nicht unterscheiden, und der Zeitraum, in dem die Angreiferkonten aktiv waren, überschneidet sich mit diesen Daten.

Ihr Scanner weist darauf hin, dass diese vier eine Version verwenden, für die eine Sicherheitslücke bekannt ist, was bedeutet, dass die technischen Details öffentlich zugänglich sind. Insgesamt sind 35 Plugins und Themes veraltet, darunter die gesamte Thrive-Suite, WooCommerce, Amelia und die Fluent-Suite.

Dies ist der wahrscheinlichste Einfallsweg. Die Hintertür gelangte als Datei, die wie ein Bild aussah, in den Medienordner – ein typisches Anzeichen für eine Schwachstelle bei der Upload-Verarbeitung –, und „Fluent Forms“ ist die Komponente auf dieser Website, die Datei-Uploads von Kunden akzeptiert. Ohne Ihre Server-Zugriffsprotokolle können wir nicht nachweisen, welche Schwachstelle ausgenutzt wurde, aber wenn Sie diese Versionen beibehalten, bleibt die Sicherheitslücke in demselben Zustand wie am 22. Juli.

WordPress enthält einen Editor, mit dem ein Administrator Theme- und Plugin-Dateien direkt über den Browser bearbeiten kann. Auf dieser Website ist diese Funktion aktiviert. Dadurch kann in jeder Administratorsitzung beliebiger Code ausgeführt werden, ohne dass ein Upload oder eine Dateiübertragung erforderlich ist.

Da im Juli drei Angreifer-Administratorkonten angemeldet waren, stand ihnen diese Funktion zur Verfügung. Sie sollte dauerhaft deaktiviert werden: Legitime Änderungen erfolgen über den Bereitstellungsprozess Ihrer Behörde und nicht über den Browser-Editor.

In den letzten sieben Tagen wurden auf der Website 393 fehlgeschlagene Anmeldeversuche von 221 verschiedenen Adressen verzeichnet, dazu 56 Versuche, die vom Anmeldeschutz abgewehrt wurden, sowie 21 Versuche, Benutzernamen aufzulisten. Betrachtet man das gesamte Protokoll des Plugins, so ist der Umfang der Kampagne noch größer: Der Anzeigename Daniel wurde etwa 500 Mal ins Visier genommen und Rossi Marta etwa 179.

Das Wichtigste dabei ist, dass es sich um echte Namen von echten Personen auf Ihrer Website handelt, nicht um die üblichen admin Vermutungen. Das bedeutet, dass die Angreifer die Namen der Autoren von Ihren Seiten abgegriffen haben und nun Passwörter für bekannte Konten durchprobieren. Eine Adresse pro Name, breit gestreut und bewusst langsam genug, um wie gewöhnlicher Datenverkehr zu wirken.

Genau eines Ihrer acht Administratorkonten verfügt über eine aktivierte Zwei-Faktor-Authentifizierung. Bei den anderen sieben ist ein korrektes Passwort das einzige Hindernis – und Passwörter sind genau das, worauf diese Kampagne letztendlich abzielt.

Die OneDrive-Integration speichert ihre Autorisierungsdaten in einem Ordner ohne Zugriffskontrolle, und wir haben festgestellt, dass eine darin enthaltene Datei über das Internet bereitgestellt wird. Allein der Dateiname gibt bereits die Adresse des verbundenen Kontos und Ihre Microsoft-Tenant-ID preis. In dem von uns untersuchten Fall war die Token-Datei selbst leer, doch auf einer Live-Website befindet sich unter diesem Pfad ein gültiges Zugriffstoken für Ihr OneDrive.

Ein gültiges Token dieser Art gewährt Lese- und Schreibzugriff auf den verbundenen Dokumentenspeicher, ohne dass ein Passwort erforderlich ist und ohne dass eine Anmeldebenachrichtigung ausgelöst wird.

Acht Konten verfügen über vollständige Administratorrechte auf einer Website, auf der Steuer- und Zahlungsdaten verarbeitet werden. Alle acht sind Personen oder Organisationen zuzuordnen, mit denen Sie zusammenarbeiten; es handelt sich also bei keinem um ein betrügerisches Konto, doch zwei davon fallen als inaktiv auf.

• Ein im Oktober 2022 erstelltes Agenturkonto, das seit Januar 2025 nicht mehr genutzt wird und dessen gespeichertes Passwort noch im alten Format vorliegt.
• Ein am 21. Mai 2026 erstelltes Support-Konto eines Anbieters, das einmal von einer Adresse in Bangladesch aus genutzt wurde und seitdem ungenutzt ist. Die Adresse stimmt mit dem Support-Team eines Ihrer Plugin-Anbieter überein, daher handelt es sich wahrscheinlich um einen legitimen Zugriff, den Ihre Agentur veranlasst hat, doch das Konto sollte nicht mehr offen sein.

Jeder inaktive Administrator ist wie ein kompletter Schlüsselsatz, auf den niemand achtet.

Ein Plugin zur Verwaltung von Remote-Standorten ist weiterhin installiert, jedoch deaktiviert, und zwei Administratorkonten verfügen nach wie vor über dessen Verbindungseinstellungen, einschließlich eines gespeicherten Verbindungsschlüssels. Die geplanten Aufgaben sind weiterhin registriert, und im Medienverzeichnis wurde ein Ordner mit einem Serverklon zurückgelassen.

Ein solches Tool ist von seiner Konzeption her ein Kanal zur Fernverwaltung. „Deaktiviert“ bedeutet nicht „gelöscht“: Die Dateien befinden sich weiterhin auf der Festplatte, und durch eine Reaktivierung wird der Kanal wiederhergestellt. Es handelt sich höchstwahrscheinlich um eine eigene Verwaltungskonfiguration Ihrer Behörde, was zwar in Ordnung ist, aber entweder in Gebrauch und auf dem neuesten Stand sein sollte oder ganz entfernt werden sollte.

Ein Übersetzungs-Plugin, das nicht mehr installiert ist, hat 91 kompilierte PHP-Vorlagendateien im Ordner „media“ hinterlassen. Ihr Inhalt ist harmlos, aber es handelt sich um ausführbaren Code in einem Ordner, der niemals solchen Code enthalten sollte, und wie C-3 feststellt, wird PHP in diesem Ordner auf diesem Server tatsächlich ausgeführt.

Unabhängig davon ist eine vollständige zweite Kopie des OneDrive-Plugins in der Version 3.5.2.1 vorhanden, während die Live-Version 3.8.1 ist. Sie ist zwar nicht aktiv, aber jede darin enthaltene Datei ist weiterhin zugänglich und ausführbar, was bedeutet, dass die Schwachstellen einer alten Version weiterhin bestehen, obwohl das Plugin scheinbar aktualisiert wurde.

Drei Dateien, die beschreiben, wie Ihr Server eingerichtet ist, werden jedem bereitgestellt, der danach fragt. Wir haben alle drei am 30. Juli überprüft:

• /.user.ini (112 Byte), die Ihr Scanner bereits am 27. Juli gemeldet hat und die nach wie vor als ungelöst aufgeführt ist. Sie gibt den absoluten Pfad der Website auf der Festplatte preis.
• /.htaccess (1.901 Byte), wodurch einem Angreifer Ihr gesamter Regelsatz offengelegt wird – einschließlich der Pfade, die Ihrer Meinung nach geschützt sind, und des Sicherheits-Plugins, das die Regeln erstellt hat.
• /wp-content/debug.log (220 Byte), in die PHP-Fehler geschrieben werden. Debug-Protokolle enthalten in der Regel Dateipfade, Abfragefragmente und gelegentlich übermittelte Daten.

Keine dieser Maßnahmen ist für sich genommen gefährlich. Zusammen bilden sie die Erkundungsmaßnahmen, die ein Angreifer durchführt, bevor er sich für eine Technik entscheidet, und sie werden von Scan-Tools automatisch erfasst.

Wir haben auf der gesamten Website 24 Zugriffsregel-Dateien gefunden, die von Ihren Sicherheits-, Backup- und Formular-Plugins erstellt wurden. Alle verwenden die Apache-Syntax. Ihr Server läuft unter nginx, das diese Dateien jedoch vollständig ignoriert.

Die Konsequenz ist eher systematischer als isolierter Natur: die Sperrung von PHP im Medienordner (C-3), der Schutz der Konfigurationsdatei, die Deny from all Der Rechnungsordner (C-2) und der Ordner für die Sicherungszwischenspeicherung werden im Dashboard eines Plugins alle als aktive Schutzmaßnahmen angezeigt, obwohl sie überhaupt nichts bewirken. Dies ist der einzige Grund, warum mehrere Feststellungen in diesem Bericht so schwerwiegend sind.

Die Registrierung ist offen, und neue Konten erhalten die Rolle „Abonnent“. Angesichts des Shops, des Buchungssystems und der Online-Kurse ist dies vermutlich beabsichtigt, und die Kontenliste stimmt mit echten Kunden überein: Die Registrierungsspitzen im Februar und März fallen mit der Steuererklärungssaison zusammen.

Dies wird hier aufgeführt, da ein offenes Registrierungsformular der übliche erste Schritt bei Angriffen zur Rechteausweitung ist. Einige der Plugins auf dieser Website wiesen in der Vergangenheit Schwachstellen auf, die nur von angemeldeten Benutzern ausgenutzt werden konnten, und eine offene Registrierung bedeutet, dass sich jeder als Benutzer registrieren kann.

Eine Handvoll Konten nutzt Einweg- oder anonyme E-Mail-Domains. Keines davon verfügt über Sonderrechte.

Zwei Plugins, die nicht mehr installiert sind, haben Anmeldedaten zurückgelassen: Ein Dateimanager hat seinen Zugriffsschlüssel hinterlassen, und ein Backup-Plugin hat gespeicherte HTTP-Authentifizierungseinstellungen zurückgelassen. Wir haben die Werte nicht ausgelesen.

Ein Dateimanager ist aus einem zweiten Grund erwähnenswert. Er ermöglicht den vollständigen Zugriff auf das Dateisystem über den Browser, und an mehreren Stellen auf dieser Website finden sich Spuren davon, sodass er hier also irgendwann einmal gelaufen ist. Das ist genau die Art von Tool, die es ermöglicht, aus einem einzigen kompromittierten Administratorkonto vollständigen Zugriff auf den Server zu gewinnen.

Drei Umstände, von denen keiner für sich genommen gefährlich war, die jedoch jeweils die Auswirkungen des Geschehens verstärkten.

• In der Produktionsumgebung ist die vollständige Protokollierung von Datenbankabfragen aktiviert, wodurch das in H-1 beschriebene Abfrageprotokoll mit Passwort-Hashes und Kundendaten gefüllt wird.
• Die Standardeinstellung wp_ Tabellenpräfix, das es automatisierten Angriffstools ermöglicht, Ihre Tabellennamen zu erraten, ohne diese einzeln abfragen zu müssen.
• Automatische Updates sind deaktiviert, sodass die Website vollständig vom verwalteten Update-Zeitplan abhängt und derzeit 35 Updates ausstehen.

Ihre Datenbank-Anmeldedaten selbst sind in Ordnung: Das Passwort ist weder leer noch trivial kurz, und die Sicherheitsschlüssel sind eindeutig und wurden nicht auf ihren Platzhalterwerten belassen. Sie müssen nun nur noch geändert werden, weil C-1 sie veröffentlicht hat.

Beide Adressen reagieren auf die Anfrage, anstatt sie abzulehnen. Das ist wichtiger, als es auf den ersten Blick scheint: Backup-Plugins speichern vollständige Website-Archive in diesen Ordnern, und ein einzelnes Archiv enthält die gesamte Datenbank – also jeden Passwort-Hash, jeden Kundendatensatz und jeden Schlüssel der Website in einer einzigen Datei, die heruntergeladen werden kann.

Wir weisen ausdrücklich darauf hin, dass unsere Aussagen hier begrenzt sind. Der Inhalt dieser Ordner liegt außerhalb des Untersuchungsbereichs dieser Überprüfung, daher stufen wir sie weder als offengelegt noch als sicher ein. Wir wissen lediglich, dass die Pfade aktiv sind und dass uns der Zugriff auf nichts verweigert wurde.

In der Spam-Warteschlange befinden sich 28 Kommentare, die auf Glücksspiel- und Erotik-Websites verweisen. Der Filter hat sie alle abgefangen, keiner wurde jemals veröffentlicht, und keine Ihrer Seiten enthält solche Inhalte. Es handelt sich um gewöhnlichen eingehenden Spam, der nur aufgeführt wird, damit Sie wissen, dass er geprüft wurde.

Zehn in den Inhalt des Page Builders eingebettete Frames verweisen weiterhin auf eine Staging-Subdomain. Das ist an sich zwar keine Sicherheitslücke, aber es lohnt sich zu überprüfen, ob die Staging-Site nicht öffentlich erreichbar ist, da eine Kopie einer Website in der Regel dieselben Daten enthält, ohne dass dort Wartungsarbeiten durchgeführt werden.

Die Website trägt die Spuren ihrer Vergangenheit: geplante Aufgaben, die zu einem Sicherheits-Plugin, einem Übersetzungs-Plugin, einem Aktivitätsprotokoll und einem Verwaltungstool gehörten, die alle längst nicht mehr vorhanden sind, ein Optionsname, der noch immer ein früheres Tabellenpräfix enthält, mehrere veraltete Cache-Ordner, eine übrig gebliebene Wartungsseite, die auf den ältesten Serverpfad verweist, sowie eine Kopie einer Indexdatei. Vierzehn Ordner mit zufällig gewählten Namen in wp-content Sie sehen beunruhigend aus, sind aber tatsächlich der Asset-Cache des Cookie-Banner-Plugins, der ausschließlich JavaScript enthält – zwölf davon sind leer.

Das alles ist nicht böswillig. Es ist jedoch von Bedeutung, weil sich bösartige Dateien gerade in diesem Durcheinander verstecken und weil jemand, der diese Seite in Eile überfliegt, den Unterschied nicht erkennen kann.

Malware kann sich gelegentlich in der Datenbank-Engine selbst verstecken, beispielsweise als Trigger oder als gespeicherte Prozedur, die bei jedem Laden einer Seite eine Payload neu installiert. Dies ist die einzige Kategorie von Verstecken, die anhand des verfügbaren Materials nicht ausgeschlossen werden kann; daher wird sie als „ungeklärt“ und nicht als „bereinigt“ gemeldet.

Drei Abfragen reichen aus, um das Problem in Sekundenschnelle zu lösen – führen Sie sie in der Live-Datenbank aus:

SELECT TRIGGER_NAME, EVENT_OBJECT_TABLE, ACTION_TIMING, ACTION_STATEMENT
  FROM information_schema.TRIGGERS;
SELECT ROUTINE_NAME, ROUTINE_TYPE, ROUTINE_DEFINITION
  FROM information_schema.ROUTINES;
SELECT EVENT_NAME, STATUS, EVENT_DEFINITION
  FROM information_schema.EVENTS;

Auf einer normalen WordPress-Website liefern alle drei keine Ergebnisse. Alle aufgeführten Einträge sollten sorgfältig gelesen werden.

Jede PHP-Datei wurde auf versteckten und verschlüsselten Code, auf Code, der unabhängig davon ausgeführt wird, was ein Besucher übermittelt, sowie auf kleine Loader überprüft, die gelöschte Malware erneut installieren. Es wurde nichts gefunden. Der WordPress-Kern, das aktive Theme, die drei automatisch geladenen Plugins und die Einstiegsdateien der Website entsprechen alle dem Originalzustand der Hersteller und enthalten keinen eingefügten Code.

Die beiden Bereiche auf dieser Website, in denen beliebiger Code ausgeführt werden kann, sind legitime Tools, die Zeile für Zeile geprüft wurden: der Code-Snippet-Manager und die Diagnosekonsole in H-1. Bei beiden ist diese Funktion durch eine Administratorprüfung geschützt.

Keine eingebetteten Skripte, keine versteckten Links, kein Suchmaschinen-Spam und kein Weiterleitungscode auf irgendeiner Seite oder in irgendeiner Seiteneinstellung. Jeder eingebettete Frame und jedes Skript führt zu dem, was erwartet wird: Ihre eigene Website, Ihre Analysetools, Ihr Einwilligungsbanner, Google Maps, YouTube und ein Finanzmodellierungstool. Ausgehende Links verweisen auf kantonale und eidgenössische Steuerbehörden in der Schweiz, Wikipedia und ähnliche Seiten. An Ihren veröffentlichten Inhalten wurde nichts verändert.

Dies ist die wichtigste Überprüfung nach einem Sicherheitsvorfall, da sie auch nach einer Dateibereinigung noch Bestand hat. Alle zehn gespeicherten Code-Schnipsel wurden vollständig gelesen und sind entweder Ihre eigenen oder legitime Arbeiten Ihrer Agentur. Keine geplante Aufgabe enthält Code. Keine Einstellung enthält eine verschlüsselte Nutzlast. Jedes aktive Plugin verfügt über einen entsprechenden Ordner auf der Festplatte, sodass kein verstecktes Plugin ausschließlich über die Datenbank ausgeführt wird. Die Einstellungen für Ihre Website-Adresse sind korrekt und es steht keine Änderung der E-Mail-Adresse des Administrators an.

Jede Quelle für Plugin-Updates verweist auf den tatsächlichen Anbieter, und es gibt keine Anzeichen für raubkopierte Plugin-Versionen, die eine häufige Methode darstellen, mit der Malware mit Zustimmung des Website-Betreibers auf die Website gelangt.

Das E-Mail-Aufkommen liegt seit mehr als drei Jahren konstant bei 11.000 bis 14.000 Nachrichten pro Monat und entspricht damit Ihrem Newsletter-Zeitplan, mit den üblichen Spitzenwerten im Januar und Juli. Es gibt weder plötzliche Spitzen noch unerklärliche Versendungen, sodass der Zugriff des Angreifers im Juli nicht dazu genutzt wurde, die Website in einen Spam-Relay zu verwandeln. Das bedeutet auch, dass die Reputation Ihrer Domain als Absender unbeeinträchtigt ist.

Alle 317 Konten wurden anhand der gespeicherten Berechtigungen überprüft. Die acht Administratoren sind alle Ihrem Team, Ihrer Behörde oder einem Plugin-Anbieter zuzuordnen, und kein Konto verfügt über Berechtigungen, die außerhalb des üblichen Mechanismus gewährt wurden. Das Muster der Kundenregistrierungen stimmt mit Ihrem Geschäftsbetrieb überein, einschließlich des Spitzenaufkommens während der Steuerperiode. Die drei in C-4 beschriebenen Angreiferkonten sind nachweislich nicht mehr vorhanden.