Webshell

Warum es für WordPress wichtig ist

Eine PHP-Datei in Uploads oder einem Theme kann Dateisystem- und Datenbankzugriff geben. Angreifer nutzen Webshells, um weitere Malware zu legen, Dumps zu stehlen oder auf Shared Hosting zu anderen Websites zu springen. Eine Bereinigung, die die Shell (oder das Upload-Loch) verpasst, lädt zur Neuinfektion ein.

So zeigt es sich in der Praxis

• PHP-Dateien unter wp-content/uploads
• Winzige Namen wie x.php, 1.php oder Zufallszeichen neben Bildern
• POST-Anfragen auf seltsame Pfade in den Access-Logs
• Integritätswarnungen für neue ausführbare Pfade außerhalb von Plugins

Was Sie tun sollten

1. Blockieren Sie PHP-Ausführung in Uploads auf Serverebene, wenn Sie können.
2. Scannen Sie nach unerwartetem PHP außerhalb normalem Plugin- und Theme-Code.
3. Verfolgen Sie, wie es dorthin kam (anfälliges Formular, Plugin, FTP-Zugang).
4. Entfernen Sie die Shell, schließen Sie den Einstieg, wechseln Sie Zugangsdaten.
5. Vergleichen Sie den Core, damit veränderte Dropper nicht übersehen werden.

In WP Security Ninja

Nutzen Sie den Malware-Scanner, um verdächtiges PHP zu finden, und den Core-Scanner, um unerwartete Core-Änderungen zu sehen. Scannen Sie nach der Bereinigung weiter, bis die Funde sauber bleiben. Muster der Persistenz: WordPress-Hintertüren.