Gehackte Drupal Seite reparieren lassen

3. Sicherheitslücke erkennen und den Angriff nachvollziehen

Ein Eindringen über eine bislang vollständig unbekannte Sicherheitslücke (0-Day-Exploit) ist ohne umfangreiches Fachwissen mitunter nur schwer aufzuspüren - glücklicherweise aber auch eine sehr seltene Ausnahme. Angriffe auf Webseiten erfolgen in fast allen Fällen nach dem Zufallsprinzip, indem Kriminelle das Netz weiträumig nach Seiten mit bekannten Schwachpunkten durchsuchen. Eine Analyse sollte folgende Schritte umfassen:

• Virenscan: Auf diese Weise lässt sich eine zusätzliche Infektion mit bekannten Schadprogrammen ausschließen. Bei einem positiven Resultat sind Rückschlüsse auf Herkunft und Professionalität des Angreifers möglich.
• Logs: Praktisch jeder Angriff wird von einer oder mehreren Log-Dateien erfasst. Auffällig sind unter anderem massenhafte Verbindungsanfragen, ungewöhnliche Zeitpunkte oder abweichende URLs, die nicht vom System oder von externen Links stammen. Log-Dateien lassen sich nachträglich manipulieren - "fehlende" Einträge (etwa über einen bestimmten Zeitraum mehrerer Minuten) sind deshalb ebenfalls interessant.
• Veränderungen im Dateisystem: Aus Bequemlichkeit verzichten viele Angreifer darauf, Zeitstempel nachträglich zu korrigieren. Das Datum der letzten Veränderung verrät deshalb häufig, wann der Angriff erfolgte. Ebenso wichtig ist die Reihenfolge, denn sie lässt auf seinen Ursprung und Ablauf schließen.
• Neue Dateien: Neu angelegte Dateien mit ungewöhnlichen Berechtigungen oder Eigentümern sind typisch für eine Backdoor andere bösartige Skripte wie Chatbots, E-Mail-Spammer oder "Zombie-Bots", die Befehle von fremden Servern ausführen.

4. Wiederherstellung

Bei einem von einem Virus infizierten Computer sollte aus Sicherheitsgründen das Betriebssystem vollständig neu installiert werden. Bei einer Webseite ist es analog dazu sinnvoll, den Zeitpunkt des Angriffs festzustellen und ein sauberes Back-up einzuspielen. Neue Inhalte oder Nutzerregistrierungen werden durch die Datenbank übernommen, wobei diese in jedem Fall auf User mit unzulässigen Rechten überprüft werden sollte.

Existiert kein Back-up, sollte ernstlich eine vollständige Neuinstallation erwogen werden. Diese ist meistens weniger aufwendig als befürchtet - bestehende Konfigurationen können nach einer Überprüfung übernommen werden.

Ist aus unterschiedlichen Gründen beides nicht möglich, muss das gesamte CMS manuell überprüft werden. Eine Backdoor kann prinzipiell in jedem Skript und in jeder Datei stecken und muss nur einmal an einer geeigneten Stelle aufgerufen werden. In diesem Fall ist es hilfreich, das CMS und sämtliche Module, Plug-ins oder Templates mit Vorlagen aus der offiziellen Quelle zu vergleichen. Hilfreich sind dabei grafische Werkzeuge wie WinMerge oder GTKdiff, die Unterschiede zwischen zwei Dateien grafisch darstellen.

5. Stetige Aktualisierung aller Komponenten

Alle vom Betreiber verwendeten Passwörter müssen nach jedem erfolgreichen Hack geändert werden. Darüber hinaus sollten auch Nutzer informiert und zu einer Änderung aufgefordert werden. Den besten Schutz vor einem Hack bietet nach wie vor eine permanente, zeitnahe Aktualisierung von Drupal und allen externen Plug-ins. Entwickler schließen kritische Sicherheitslücken fast immer, bevor diese öffentlich bekannt werden - werden Updates vernachlässigt, kommt dies fast einer Einladung an Kriminelle jedes Ursprungs gleich.