Ich bin gerade mal durch ein paar Artikel gesurft und habe mir die Werbung angeschaut. Nur Bullshit in den Werbebannern. Kein Wunder, dass es kaum noch angeklickt wird und wenn, dann nicht mal einen Cent pro Klick wert ist. Die meisten Anzeigen haben auch überhaupt nichts mit dem Inhalt des Artikels zu tun …
Da ist doch was faul?!
Und das ganze passiert seit dem 1. Februar zusammen mit einem extremen Einbruch der Besucher, die von Google kommen. Waren es im Januar noch 2000 bis 2500 Besucher pro Tag auf diesem Blog, sind es jetzt nur noch 500 bis 600. Total irre!
Vorbei die fetten Jahre. Blogge wohl wieder nur für mich und ein paar hundert anstatt tausend andere. Und die 30 Eurocent pro Tag kann sich Google gerne sonstwo hinstecken, wenn sich das nicht bessert. Reicht ja nicht mal für ein Bier :/
Nachtrag:
Hmm … in den Webmastertools unter „wie Google einen sieht“ stehen komische Keywords:
1. cod
2. prescription
3. mentax
4. mevacor
5. mexitil
6. miacalcin
7. micardis
8. overnight
9. discount
10. without
11. buy
12. delivery
13. cheap
14. order
15. purchase
16. online
17. mobic
18. mentat
19. january
20. december
WTF?! Wo?
Ok this is fucked up! Tatsache, wenn ich mich in Google suche und den Cache dort aufrufe, habe ich saumäßig viele Links mit solchen Keywords im Footer stehen! Fuck it … wo kommen die wohl her?
Nachtrag2:
Ok, in dem Text, der an mein Blog angefügt wird, kommt auch ein Adsensebanner mit einer ID „pub-7652328300112263“ vor … wenn man danach sucht findet man zig Leute, die auch gehacket wurden.
Nachtrag3:
curl –no-sessionid –user-agent „Googlebot/2.1 (+http://www.googlebot.com/bot.html)“ http://www.sebbi.de/ liefert den Spam in meinem Blog … scheinbar nur für den Googlebot. Aber wo kommt es her?
Nachtrag4:
Hmm … ein Plugin Hack. Im Spamkarma Ordner lagen zwei Dateien, die auch in der Datenbank in wp_options in der Option „active_plugins“ referenziert werden:
i:31;s:56:“SK2/sk2_plugins/sk2_referrer_check_plugin_02092008.cache“;i:32;s:45:“SK2/sk2_plugins/sk2_referrer_check_plugin.old“;
Beide Dateien enthalten kryptischen PHP-Code und sind am 29. Januar um 1:23 Uhr bzw. die Cache Datei immer beim letzten Seitenaufruf erstellt worden. Damn!
Alles entfernt und es erscheint keine Werbung mehr im Code, wenn der Googlebot auftaucht … mal sehen, ob mein Blog jetzt wieder besser rankt. Und die große Frage: über welche Sicherheitlücke ist das passiert?
Nachtrag5:
Wenn man nach einzelnen Stellen in dem Schadcode sucht, findet man andere WordPress Blogs, die ebenfalls gehackt wurden, bei denen die Datei einem anderen Pluginnamen nach benannt wurde. In der Logdatei vom Apache kann ich zur fraglichen Zeit leider nichts finden … WordPress 2.7. hatte ich da ja schon länger installiert … ob es daran lag? Mitte Januar hatte ich ja auch noch einen Virus auf dem PC, aber danach mein WordPress Passwort geändert. Ich habe keine Ahnung :/
Nachtrag6:
Auch andere Blogs auf unserem Server sind betroffen. Cappellmeister, falls du dich fragst, warum du nicht per Google gefunden wirst … laut Dateidatum war dein Blog schon seit September 2007 infiziert (ich war so frei das Problem zu beseitigen). Keine Ahnung ob man auf das Datum vertrauen kann.
Das Problem scheint zu sein, dass man wohl irgendwie die WordPress Option active_plugins von außen ändern kann und man auch irgendwie eine Datei in das Pluginverzeichnis hochladen kann. Der Hack legt sich dann zu irgendeinem der bereits installierten Plugins in ein tiefes Unterverzeichnis dazu und bleibt unerkannt, weil WordPress in der Pluginliste nur die erste Ebene anzeigt.
Scheint wirklich schon sehr alt zu sein, denn ich habe in einem Backup der WordPress-Dateien von letztem Jahr ebenfalls zwei Bilder gefunden, die eigentlich PHP-Skripte waren. Hmm …
Was lernen wir vorerst daraus? Immer überprüfen, ob man mit solchen Spamlinks gesegnet ist, wenn sich irgendwas bei Google ändert (Pagerank, Platzierungen, Adsenseblöcke mit komischer Werbung drin) …
Nachtrag7:
http://wordpress.org/support/topic/168964?replies=48
Genau das war es … nur ist das schon ewig alt und hier läuft immer die aktuelle WordPress Version. Scheint noch nicht gefixt zu sein :/
