*Falls ihr eine Website habt oder betreut und die evtl. mit einem CMS wie WordPress, Joomla oder Drupal betrieben wird, dann achtet auf den folgenden Code im Quelltext.*

---------

![malware-detected.png](https://res.cloudinary.com/hpiynhbhq/image/upload/v1519840525/dvaeaia9renlr2trp88u.png)
[Symboldbild, CC0, [Pixabay](https://pixabay.com/de/warnung-alarm-erkannt-malware-2168379/)]

## Worum geht es?

Wir haben in den letzten Wochen mehrere WordPress-Websites von Neukunden bekommen, die wir im Rahmen von Wartungsverträgen betreuen sollen. Dabei ist uns aufgefallen, dass einige Websites mit dem folgenden Code befallen waren:

![wtf2.png](https://res.cloudinary.com/hpiynhbhq/image/upload/v1519840735/zjghftpcixoforxgl3r9.png)
[Der Schadcode: Javascript im Quelltext]

Da ich bei den Websites, die neu in unsere Wartung ankommen immer einen Sicherheitsdurchgang durchführe ist mir da sehr schnell aufgefallen, auch wenn sich der Schadcode vergleichsweise unauffällig verhält.

Der Javascript-Code nistet sich im Kopfbereich und wenn man in den Quelltext schaut, dann findet man ihn recht zügig. Im Frontend selber fällt der Code nicht direkt auf, man merkt lediglich ab und an, dass sich im Hintergrund irgendwelche zwielichtige Links im neuen Tab aufmachen.

Aus den Gesprächen mit den Kollegen habe ich erfahren, dass nicht nur WordPress- **sondern auch** Joomla- und Drupal-Websites befallen werden.

Um die eine Website abzusichern, die mit #WordPress betrieben wird habe ich vor kurzem folgenden Artikel verfasst:

**[WordPress absichern, Edition 2018](https://www.perun.net/2018/01/12/wordpress-absichern-edition-2018/)**

Die Tipps die dort beschrieben werden, sind gut vorab die Seite abzusichern. Aber einige davon helfen auch wenn die Seite befallen wurde. Bei diesem Befall ist es wichtig, dass man die Passwörter neu vergibt und achtet welche Plugins, Benutzer und Dateien auf dem FTP-Server sind verdächtig und neu hinzugekommen.

Diese muss man dann löschen. Was sich auch empfiehlt ist, dass man die Code-Dateien des Systems manuell auf dem FTP löscht und durch saubere Pakete aus den offiziellen Quellen ersetzt. Ratsam ist es auch, dass man alte Erweiterungen und Themes/Templates durch aktuellere oder weiter gepflegte ersetzt.

Ein weiterer wichtiger Link zu diesem Thema ist dieser hier:

[Unwanted Redirects via Infected JavaScript Files](https://blog.sucuri.net/2017/04/wordpress-security-unwanted-redirects-via-infected-javascript-files.html)