Eingeschleuste Links auf betrügerische Domains auf der Website
Worum es geht
Im HTML Ihrer Startseite stehen Links auf Domains mit Endungen, die Betrugskampagnen massenhaft nutzen (zum Beispiel .sbs, .cyou, .cfd). Links, die Sie nicht selbst gesetzt haben, sind der typische Fingerabdruck einer SEO-Injektion: Ein Angreifer fügt der Seite einen versteckten Linkblock hinzu und nutzt den Ruf Ihrer Domain.
Wir betrachten nur das HTML der Startseite, so wie es ein normaler Besucher erhält. Das ist eine Heuristik. Wir können nicht erkennen, wie der Angreifer eingedrungen ist oder wie viele weitere Seiten betroffen sind.
Warum das ein Problem ist
- Suchmaschinen bringen Sie mit Betrugsseiten in Verbindung, und der Ruf Ihrer Domain sinkt.
- Ihre Besucher können die schädlichen Ziele erreichen, und ein Browser oder Google stuft die Website womöglich als gefährlich ein.
- Eingeschleuster Inhalt bedeutet, dass jemand Dateien oder Datenbank Ihrer Website ändern kann. Die Links sind meist nur das, was Ihnen aufgefallen ist.
Wie Sie es beheben
Behandeln Sie es als möglichen Einbruch, bis das Gegenteil bewiesen ist.
1. Den eingeschleusten Code finden
curl -s https://example.cz/ | grep -oE 'https?://[a-z0-9.-]+\.(sbs|cyou|cfd)[^"<> ]*'Suchen Sie dieselbe Domain im Theme, in den Plugins und in der Datenbank (Beiträge, Widgets, Theme-Optionen). Der versteckte Block ist oft mit display:none getarnt oder außerhalb des Bildschirms platziert.
Manche Injektionen zeigen sich nur Suchmaschinen-Bots. Was Sie im Browser nicht sehen, muss nicht sauber sein. Rufen Sie die Seite mit einem Bot-Header ab:
curl -s -A "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)" https://example.cz/ | grep -c 'display:none'Die Zahl allein sagt wenig, denn auch legitime Seiten verwenden display:none. Führen Sie denselben Befehl ohne die Option -A (normaler Abruf) aus und vergleichen Sie: ein deutlich höherer Wert beim Bot-Header oder versteckte Blöcke mit Links, die Sie nicht kennen, sind das Signal.
2. Herausfinden, wie der Angreifer hereinkam
- ein veraltetes Plugin, Theme oder der CMS-Kern,
- ein durchgesickertes oder schwaches Admin-, FTP- oder Hosting-Passwort,
- kürzlich geänderte Dateien, die nicht von Ihnen stammen:
find /var/www -name '*.php' -mtime -14 -type f3. Bereinigen und absichern
- Website aus einem sauberen Backup wiederherstellen oder eingeschleusten Code und Hintertüren von Hand entfernen,
- CMS, Plugins und Themes aktualisieren und Ungenutztes löschen,
- unbekannte Admins entfernen und alle Passwörter ändern (Admin, Datenbank, FTP, Hosting),
- danach den Scan erneut ausführen. Hat Google die Website markiert, beantragen Sie in der Search Console eine Überprüfung.