… don’t panic !

Nachdem ich hier fest­stellte, dass sich auf mei­ner WordPress-Installation – ohne meine Einwilligung – das Mining-Programm coin­hive ein­ge­nis­tet hat, ging es um das auf­spü­ren und ent­fer­nen die­ses Schmarotzers.

Falls man das suchen, auf­spü­ren und ent­fer­nen die­ses JavaScript nicht direkt über die Installation auf dem betrof­fe­nen Servers durch­füh­ren will, funk­tio­niert es auch so :

Wenn man über den Browser sei­ner Wahl die betrof­fene home­page (in die­sem Fall die eigene-) auf­ruft, lässt sich nach Anzeige des Quellcodes die­ser Seite (bei FireFox mit rechte Maustaste/Seitenquelltext anzei­gen), die Seite durch­su­chen und die Position der Einbettung ermit­teln. Hierzu nach Anzeige des Quellcode Tastencombination „strg+f“ drü­cken und als Suchbegriff das Wort „coin­hive“ ein­ge­ben. Das Suchergebnis könnte dann zum Beispiel so aussehen :

In wel­che Datei sich coin­hive rein­ge­schrie­ben hat, muss wohl per Sucher ermit­telt wer­den. Betroffen sein kön­nen die Verzeichnisse

• /wp-admin
• /wp-includes

und dort die unter ande­ren Dateien

• index.php
• header.php
• footer.php
• Funktion.php

Wo sich der CoinHive-Mining-Code befin­det, hier war es die „footer.php“ des the­mes, lässt sich aus mei­ner Erfahrung nicht genau vor­her­sa­gen, ich ver­mu­tete es „weit unten“ und so war es auch. Gefunden habe ich den Code off­line, nach­dem hier schon ein aktu­el­les backup mei­ner Daten (geholt per FileZilla) zur Verfügung stand. Nach ent­fer­nen der betrof­fe­nen Zeile – hier in der footer.php – habe ich die berei­nigte Datei dann (per FileZilla) in das ent­spre­chende Verzeichnis über­tra­gen und dabei die „infi­zierte“ Datei über­schrei­ben lassen.

Wie und wodurch es zu die­sem „hack“ bei WordPress gekom­men ist, lässt sich aus meine Sicht schwer ermit­teln. War es even­tu­elll eine Sicherheitslücke in einem Plugin ?

Allen Betroffenen viel Erfolg bei der Suche und dem ent­fer­nen die­ses Schmarotzers.

HDS