Integrität der Core-Dateien

Warum es für WordPress wichtig ist

Angreifer patchen manchmal eine Core-Datei, damit ihre Hintertür bei jeder Anfrage lädt. Die Website kann in wp-admin normal aussehen, während wp-includes kein unverändertes WordPress mehr ist. Den Core mit offiziellen Hashes zu vergleichen fängt diese Persistenz, auch wenn Malware-Signaturen sie verpassen.

So zeigt es sich in der Praxis

• Scanner melden, dass bestimmte Core-Dateien von den erwarteten Prüfsummen abweichen
• Seltsames Verhalten nach einer „Bereinigung“, die den Core nie neu installiert hat
• Manuelle Änderungen, die jemand „nur wegen einer Warnung“ im Core gemacht hat (auch ein Problem)
• Neuinfektion, bis die veränderte Dropper-Datei ersetzt ist

Was Sie tun sollten

1. Scannen Sie den Core nach Vorfällen und in einem regelmäßigen Rhythmus.
2. Prüfen Sie Diffs. Tun Sie sie nicht ab, nur weil die Startseite normal aussieht.
3. Installieren Sie den Core aus vertrauenswürdigen Paketen neu, wenn Manipulation feststeht (und bearbeiten Sie den Core danach nicht mehr).
4. Kombinieren Sie das mit Malware-Scans und einem Ereignisprotokoll für das ganze Bild.

In WP Security Ninja

Der Core-Scanner prüft WordPress-Core-Dateien gegen bekannte gute Kopien, damit unerwartete Änderungen auffallen. Wenn die Warnung „Core-Dateien wurden geändert“ lautet, beginnen Sie mit was das bedeutet. Nutzen Sie ihn mit dem Malware-Scanner, wenn Sie stille Manipulation vermuten und nicht nur Spam-Weiterleitungen.