Auf unseren cPanel-Hosting-Servern überwacht ImunifyAV+ die Dateien der cPanel-Hosting-Konten und markiert diejenigen, die schädlichen Code enthalten: in gehackte Websites eingeschleuste PHP-Backdoors (Web-Shells), Phishing-Seiten, E-Mail-Versandskripte sowie Code-Schnipsel, die Besucher auf andere Websites umleiten. Falls Sie eine Benachrichtigung erhalten haben, dass auf Ihrem Webhosting-Konto Malware gefunden wurde, erfahren Sie in diesem Artikel, wo Sie die markierten Dateien finden und was Sie tun müssen, um die Sicherheit Ihrer Website wiederherzustellen.

Wo kann ich sehen, was gefunden wurde?

Klicken Sie auf der Startseite von cPanel in der Gruppe „Sicherheit“ auf das ImunifyAV-Symbol.

Die Seite „Malware-Scanner“ verfügt über drei Registerkarten:

• MALICIOUS: Eine Liste der als schädlich identifizierten Dateien mit dem Datum der Überprüfung, dem Dateipfad, der Bezeichnung der gefundenen Malware (Reason) und dem Status (Status).
• SCAN: Liste der auf dem Konto durchgeführten Prüfungen: wann, in welchem Verzeichnis, wie viele Dateien geprüft wurden und wie das Ergebnis ausfiel.
• VERLAUF: Protokoll der Ereignisse im Zusammenhang mit den Dateien: wann, was mit welcher Datei geschehen ist und wer den Vorgang ausgelöst hat (das System oder der Benutzer).

Die Prüfungen werden vom Server durchgeführt; sie können und dürfen nicht über das Konto gestartet werden. Die Leiste „SUMMARY“ oberhalb der Liste zeigt die Anzahl der markierten Dateien sowie den Zeitpunkt der letzten Prüfung („Last scan“) an. Mit dem Filter „Status“ können die Dateien nach ihrem Status gefiltert werden:

Status	Bedeutung
Infiziert	Die Datei enthält schädlichen Code und wurde noch nicht bereinigt.
Bereinigung läuft	Die Bereinigung ist derzeit im Gange.
Gereinigt	Das System hat den schädlichen Teil entfernt, der Rest der Datei ist erhalten geblieben.
Inhalt entfernt	Der gesamte Inhalt der Datei war schädlich, weshalb das System diesen Inhalt entfernt hat.

Anzeigen und Bereinigen von Dateien

Am Ende der Zeile der Datei befinden sich in der Spalte „Actions“ zwei Symbole:

• Augen-Symbol (Element anzeigen): Öffnet die Datei. Auf der Registerkarte** „Inhalt anzeigen“** wird der Inhalt der Datei angezeigt, die Registerkarte „Diff“ zeigt die Änderungen an. Auf diese Weise können Sie überprüfen, ob die Datei Teil der Website ist oder von einem Angreifer erstellt wurde.
• Besen-Symbol (Schädlichen Code entfernen): Entfernt den schädlichen Code. Im Bestätigungsfenster können Sie den Vorgang mit der Schaltfläche „YES, CLEAN UP“ starten.

Vor der Bereinigung erstellt das System eine Sicherungskopie der Originaldatei, die 14 Tage lang verfügbar ist. War nur ein Teil der Datei schädlich, bleibt der Rest erhalten und der Status lautet „Gereinigt“. War der gesamte Inhalt schädlich, bleibt die Datei an ihrer Stelle leer und der Status lautet „Inhalt entfernt“. Nach der Bereinigung erscheint anstelle des Kehrbens ein Uhrensymbol (Restore original item): Damit können Sie die vor der Bereinigung vorhandene, also vermutlich infizierte Version wiederherstellen, falls die Bereinigung eine ansonsten benötigte Datei beschädigt hat. Die bereinigten Dateien verbleiben während der 14-tägigen Aufbewahrungsfrist in der Liste.

cPanel überprüft Dateien, die über den Dateimanager hochgeladen werden, bereits während des Uploads: Wenn in einer Datei Malware gefunden wird, wird der Upload mit der Meldung „Die hochgeladene Datei enthält einen Virus, daher hat das System den Upload abgebrochen“ abgelehnt.

Warum wurde das Hosting infiziert?

Die Malware gelangt fast nie über den Server, sondern über die Website oder mithilfe eines gestohlenen Passworts in das System. Die häufigsten Ursachen sind:

• Veraltetes CMS, Plugin oder Template: Über eine bekannte Sicherheitslücke lädt der Angreifer eine Datei auf das Hosting hoch. Dies tritt am häufigsten bei WordPress, Joomla und Online-Shops auf.
• Gehackte (nulled) Premium-Plugins oder -Vorlagen: Die „kostenlosen“ Versionen enthalten häufig bereits von vornherein eine Hintertür; darüber berichtet der Artikel über die Gefahren von nulled-Plugins.
• Gestohlenes Passwort: Das Passwort für cPanel, FTP oder den Administrator-Bereich der Website ist durchgesickert, beispielsweise von einem infizierten Computer oder aufgrund einer früheren Datenpanne.
• Ungeschütztes Upload-Formular: Die Website ermöglicht es Besuchern, PHP-Dateien hochzuladen.

Was sollten Sie tun?

1. Löschen Sie nicht nur die markierten Dateien. Angreifer hinterlassen in der Regel an mehreren Stellen Hintertüren; daher kehrt die Infektion innerhalb weniger Tage zurück, wenn Sie die markierten Dateien löschen, ohne die Ursache zu beseitigen.
2. Ändern Sie alle Passwörter: das Passwort für Ihr cPanel-Konto, die Passwörter für Ihre FTP-Konten, die Passwörter der Datenbankbenutzer sowie die Passwörter aller Administratoren Ihrer Website. Aktivieren Sie die Zwei-Faktor-Authentifizierung in cPanel. Falls das Passwort möglicherweise von einem infizierten Rechner nach außen gelangt ist, überprüfen Sie zunächst Ihren eigenen Rechner mit einem Virenscanner.
3. Aktualisieren Sie alles: den Kern des CMS, alle Plugins und alle Vorlagen. Löschen Sie nicht verwendete Plugins und Vorlagen, anstatt sie lediglich zu deaktivieren. Bei WordPress hilft die automatische Aktualisierung der Plugins dabei, dass dies nicht erneut versäumt wird.
4. Bearbeiten Sie die markierten Dateien:
   • Bitte bereinigen Sie Dateien mit dem Status „Infected“ mithilfe des Besen-Symbols oder ersetzen Sie diese durch die ursprüngliche, saubere Version (beispielsweise aus dem offiziellen Paket des CMS oder des Plugins). Löschen Sie Dateien, die vom Angreifer erstellt wurden und nicht zur Website gehören.
   • Bei Dateien mit dem Status „Gereinigt“ und „Inhalt entfernt“ wurde der schädliche Teil bereits entfernt. Bitte überprüfen Sie, ob die Website danach weiterhin ordnungsgemäß funktioniert; falls eine geleerte Datei Teil der Website war, ersetzen Sie diese bitte durch die bereinigte Version.
   • Wenn sehr viele Dateien betroffen sind, kann es einfacher sein, die Website aus einem Backup vor dem Befall wiederherzustellen. Informationen zur Wiederherstellung finden Sie im Artikel über die Wiederherstellung aus einem Backup. Überspringen Sie nach der Wiederherstellung nicht die Schritte 2 und 3, da die Angreifer sonst erneut über dieselbe Schwachstelle eindringen können.
5. Überprüfen Sie, ob keine Dateien betroffen sind: Angreifer erstellen häufig einen neuen Administrator-Benutzer auf der Website, fügen schädlichen Code in die Datenbank ein oder richten einen zeitgesteuerten Auftrag (Cron-Job) ein. Überprüfen Sie die Benutzer der Website sowie die Seite „Cron-Aufträge“ im cPanel.
6. Sollten Sie nicht weiterkommen: Eröffnen Sie bitte ein Support-Ticket im Kundenbereich. Wir teilen Ihnen mit, welche Dateien betroffen sind und seit wann dies der Fall ist, was Ihnen dabei hilft, den Einbruchsweg zu ermitteln; die Korrektur des Codes der Website kann der Entwickler der Website vornehmen.

Zur Absicherung Ihrer WordPress-Seiten finden Sie in unserem Artikel über die grundlegenden WordPress-Sicherheitseinstellungen eine Checkliste.

Warum können wir den infizierten Hosting sperren?

Von einem infizierten Webhosting-Konto aus werden häufig Spam-E-Mails versendet, Phishing-Seiten betrieben oder andere Server angegriffen. Dies gefährdet auch die übrigen Kunden auf dem Server, beispielsweise durch die Aufnahme der IP-Adresse des Servers in eine Blacklist. Gemäß den Allgemeinen Geschäftsbedingungen können wir, sobald wir infizierte Inhalte auf dem Webhosting-Konto feststellen, diese Inhalte unter Quarantäne stellen. Wir werden Sie darüber informieren, und Sie sind verpflichtet, unverzüglich Maßnahmen zur Beseitigung der Infektion zu ergreifen. Sollten Sie innerhalb von 7 Tagen nicht damit beginnen oder sollte die Infektion andere Systeme gefährden, können wir unter Beachtung des Grundsatzes der schrittweisen Maßnahmen weitere Schutzmaßnahmen ergreifen.

Sollte Ihr Webhosting-Konto aus diesem Grund gesperrt worden sein, teilen Sie uns dies bitte nach der Bereinigung in einem Support-Ticket mit, damit wir es wieder aktivieren können. Weitere Gründe für eine Sperrung finden Sie im Artikel zur Sperrung von Diensten.

Wie lässt sich dies verhindern?

• Aktualisieren Sie regelmäßig die Website-Engine, die Plugins und die Vorlagen.
• Installieren Sie Plugins und Vorlagen ausschließlich aus offiziellen Quellen.
• Verwenden Sie für jede Plattform ein separates, sicheres Passwort und, wo möglich, eine zweistufige Authentifizierung.
• Verwenden Sie statt FTP nach Möglichkeit SFTP oder den cPanel-Dateimanager und löschen Sie nicht mehr benötigte FTP-Konten.
• Erstellen Sie regelmäßig eigene Sicherungskopien, damit Sie im Falle einer Infektion auf einen einwandfreien Zustand zurückgreifen können.