Mit dieser Version lohnt sich ein erneuter Durchlauf auf deinen Websites - mit dem deutlich verbesserten Malware-Scan ebenso wie mit dem Kerndatei-Abgleich, der um eingeschleuste Dateien erweitert wurde.
Der Schaddatei-Scanner konnte bisher nur finden, was schon einmal jemand gesehen hat - es musste ein bekanntes Muster vorliegen. Mit 2.7.10 (Changelog) kommen drei neue Verfahren dazu, die ganz ohne Muster auskommen. Und der Kerndatei-Abgleich prüfte bisher nur, ob eine Joomla-Datei verändert wurde oder fehlt; jetzt findet er auch, was jemand danebengelegt hat.
Neu: Suchen ohne Muster
Zeitliche Ausweitung nach einem Fund. Wer eine Hintertür hinterlässt, hinterlässt fast nie nur eine - die Geschwister entstehen im selben Augenblick. HTProtect merkt sich deshalb, wann auf deiner Website nachweislich etwas Bösartiges entstanden ist, und zeigt jede weitere Programmdatei aus demselben Moment. Das Gedächtnis überlebt das Aufräumen: Auch wenn die gefundene Datei längst gelöscht ist, wird 30 Tage lang weiter nach ihren Geschwistern gesucht. An einer befallenen Kundenwebsite mit 11.366 PHP-Dateien führte ein einziger Anhaltspunkt auf genau die vier Hintertüren - ohne eine einzige unbeteiligte Datei.
Erkennung zurückdatierter Dateien. Das Änderungsdatum einer Datei lässt sich frei setzen. Der Zeitpunkt, seit dem der Server die Datei kennt, dagegen nicht. Gibt eine Datei sich deutlich älter aus, als sie hier tatsächlich ist, ist das eine bewusste Täuschung. Dieses Verfahren braucht keinen vorherigen Fund und wirkt deshalb auch auf Websites, auf denen noch nie etwas gefunden wurde.
Abgleich der Joomla-Schutzzeile - defined('_JEXEC') or die. Praktisch jede Joomla-Programmdatei beginnt mit einer Zeile, die den direkten Aufruf im Browser abbricht. Eine Hintertür will genau das Gegenteil und lässt sie weg. Geprüft wird nicht pauschal, sondern ordnerweise: Nur wo die große Mehrheit sie trägt, fällt eine Ausnahme überhaupt auf. Über 14 echte Websites mit rund 180.000 PHP-Dateien gemessen blieb kein einziger Fehlalarm übrig - dafür kam eine als Cache-Verwaltung getarnte Hintertür ans Licht, die kein Muster erkannt hatte.
Verdacht bleibt Verdacht. Diese Funde stehen in einem eigenen, klar abgesetzten Bereich. Sie färben die Ampel deiner Website nicht rot und lösen keine Benachrichtigung aus. Es sind Hinweise, keine Beweise - sieh dir jede Datei in Ruhe an, ordne sie dauerhaft als unbedenklich ein oder entferne sie.
Der Kerndatei-Abgleich schaut jetzt in beide Richtungen
Bisher prüfte er nur, ob eine ausgelieferte Joomla-Datei verändert wurde. Ein Einbruch verändert heutzutage aber selten eine vorhandene Datei - das fiele sofort auf. Er legt eine neue daneben. Deshalb listet der Abgleich jetzt auch die Dateien auf, die in Joomlas eigenen Ordnern liegen, obwohl darin normalerweise keine Fremddateien liegen. Alles Erklärbare wird benannt und zusammengeklappt nach unten geräumt; oben bleibt nur, was wirklich einen Blick braucht.
Aufräumen geht jetzt noch zügiger von der Hand
Wer 95 ungeklärte Dateien vor sich hat, will sie nacheinander ansehen und dann in einem Zug aufräumen - und nicht 95 Rückfragen wegklicken.
- Alle Inhalte aufklappen lädt die Dateien der Reihe nach und zeigt den Fortschritt am Knopf.
- Auswahl nach Änderungsdatum: Ein Einbruch legt seine Dateien in einem Zug ab. 86 Funde mit demselben Datum sind ein Vorfall, nicht 86 Probleme - und genau so lassen sie sich jetzt filtern.
- Alle verbliebenen löschen entfernt zum Schluss genau das, was oben noch steht. Ist ein Zeitraum gewählt, wirkt es nur darauf.
- Vom Hoster gesperrte Dateien lassen sich endlich entfernen. Manche Hoster-Virenscanner entziehen einer gefundenen Datei die Rechte, statt sie zu löschen - das Entfernen scheiterte dann stillschweigend. Und wo eine Datei nicht entfernt werden kann, steht jetzt der Grund dabei, statt dass der Klick wirkungslos bleibt.
