Warnung vor Web-Backdoor von meinem Provider

Jochen

Hallo, habe gerade von meinem Provider folgende Warnung bekommen:
Web-Backdoor (Shell)

Hauptseite (public_html): public_html/plugins/system/metacache/metacache.php → Web-Backdoor (Shell)
Habe den Malware Scan von HTProtect laufen lassen, aber der findet nichts.
Hat jemand eine Idee was ich da machen kann.
Viele Grüße

HTProtect 2.7,11
Joomla 5.4.8
PHP 8.2.33

Pascal

willkommen im Forum.
Hat der Provider die Datei möglicherweise schon selbst entfernt oder gesperrt?
Kannst du die Datei bitte als ZIP hier anhängen, falls sie noch (in einem Backup) vorhanden ist?
Dann schaue ich, warum diese Shell-Variante nicht erkannt wurde und erweitere die Signaturen.

Gruß
Pascal

Jochen

Hi Pascal, der Provider hatte meine Seite vorsorglich gesperrt. Hab dann selber noch recherchiert und gefunden das es von Joomla kein Core-System-Plugin mit diesem Namen gibt. Habe diese Plugin gelöscht. Zur Info habe dieses Plugin metacache dann sogar noch auf einer anderen Seite die ich betreue gefunden und gelöscht.
Der Malware Scan von HTProtect hat da leider nichts angezeigt. Der Provider hat dann nach meiner Aktion nochmal einen Scan der Seite gemacht und es wurde nichts mehr gefunden.
Ich kann aber mal schauen, vermute in einem Backup sollte die Datei noch zu finden sein.
Wenn ich sie finde stelle ich sie hier rein.

Gruß
Jochen

Pascal

Basierend auf den Infos hier:
https://www.cybersalt.com/net-shaker/how-a-chinese-webshell-survived-16-months-by-pretending-to-be-a-joomla-plugin

habe ich den Malware Signatur-Feed auf gut Glück aktualisiert/geschärft.

Um sicherzugehen, dass deine Variante das Muster trifft, wäre ein Test / das Bereitstellen der Datei dennoch super.

Jochen

Hi Pacal, habe die Datei jetzt in einem Update gefunden.

Gruß
Jochen
[Datei wieder entfernt]

Pascal

Besten Dank - wird nun gefunden:

Jochen

Klasse 😀
HTProtect wird immer besser.
Gruß
Jochen