# Trojanisches Programm? **URL:** \ **Category:** Shopware 3.5\ **Tags:** other\ **Created:** [8. Dezember 2013 um 20:05 UTC](https://forum.shopware.com/t/trojanisches-programm/17238 "2013-12-08T20:05:09Z")\ **Posts on this page:** 19\ **Page:** 1
**Author:** ![solaradmin](https://avatars.discourse-cdn.com/v4/letter/s/c77e96/32.png) [@solaradmin](https://forum.shopware.com/u/solaradmin)\ **Post date:** [8. Dezember 2013 um 20:05 UTC](https://forum.shopware.com/t/trojanisches-programm/17238/1 "2013-12-08T20:05:09Z")
Der Kaspersky Virenscanner hat in meinem 3er-Shop im Ordner engine/Shopware/Plugins/Default/Backend/Menu eine Datei namens LICESNE.php gefunden und als Trojanisches-Programm namens „Backdoor.PHP.PhpShell.dj“ identifiziert. Wer kann was dazu sagen!? ---
**Author:** ![EikeBrandtWarneke](https://avatars.discourse-cdn.com/v4/letter/e/cdc98d/32.png) [@EikeBrandtWarneke](https://forum.shopware.com/u/EikeBrandtWarneke)\ **Post date:** [8. Dezember 2013 um 20:38 UTC](https://forum.shopware.com/t/trojanisches-programm/17238/2 "2013-12-08T20:38:03Z")
Zeig doch mal den Inhalt. Viele Grüße ---
**Author:** ![solaradmin](https://avatars.discourse-cdn.com/v4/letter/s/c77e96/32.png) [@solaradmin](https://forum.shopware.com/u/solaradmin)\ **Post date:** [8. Dezember 2013 um 22:27 UTC](https://forum.shopware.com/t/trojanisches-programm/17238/3 "2013-12-08T22:27:16Z")
Hier ein Screenshot der ersten 71 von 1585 Zeilen als Bilddatei: Was sagen die Experten und wie kommt die Datei da hin!? ---
**Author:** ![waldicom](https://dub1.discourse-cdn.com/flex013/user_avatar/forum.shopware.com/waldicom/32/12881_2.png) [@waldicom](https://forum.shopware.com/u/waldicom)\ **Post date:** [9. Dezember 2013 um 01:09 UTC](https://forum.shopware.com/t/trojanisches-programm/17238/4 "2013-12-09T01:09:36Z")
Sieht nach einer Web-Shell… Nicht gut. ---
**Author:** ![solaradmin](https://avatars.discourse-cdn.com/v4/letter/s/c77e96/32.png) [@solaradmin](https://forum.shopware.com/u/solaradmin)\ **Post date:** [9. Dezember 2013 um 09:33 UTC](https://forum.shopware.com/t/trojanisches-programm/17238/5 "2013-12-09T09:33:33Z")
Welche Möglichkeiten gibt es, den Urheber und die Absicht dieser Aktion ausfindig zu machen!? ---
**Author:** ![shopbesitzer](https://avatars.discourse-cdn.com/v4/letter/s/a88e4f/32.png) [@shopbesitzer](https://forum.shopware.com/u/shopbesitzer)\ **Post date:** [9. Dezember 2013 um 09:37 UTC](https://forum.shopware.com/t/trojanisches-programm/17238/6 "2013-12-09T09:37:36Z")
Hi waldicom, kannst du etwas genauer dazu sagen? ich finde das thema sehr interessant, woran erkennst du das es ein webshell ist? Hab mal die Suche bemueht (nach der licesne.php), und sieht aus das ein Backdoor auf deinem Server installiert ist, mit dem der Hacker sämtlichen Zugriff auf deine Dateien hat, schau mal hier: [http://blog.sucuri.net/2013/08/more-cre … typos.html](http://blog.sucuri.net/2013/08/more-creative-backdoors-using-filename-typos.html) (angabe ohne gewähr, bin kein profi) Wegen dem Urheber, da muesste man was in den Serverlogs sehen ---
**Author:** ![ovi](https://avatars.discourse-cdn.com/v4/letter/o/3ab097/32.png) [@ovi](https://forum.shopware.com/u/ovi)\ **Post date:** [9. Dezember 2013 um 09:49 UTC](https://forum.shopware.com/t/trojanisches-programm/17238/7 "2013-12-09T09:49:39Z")
Da hat Waldicom recht, es handelt sich dabei um die WSO Web Shell. ---
**Author:** ![hth](https://avatars.discourse-cdn.com/v4/letter/h/b77776/32.png) [@hth](https://forum.shopware.com/u/hth)\ **Post date:** [9. Dezember 2013 um 09:58 UTC](https://forum.shopware.com/t/trojanisches-programm/17238/8 "2013-12-09T09:58:46Z")
Wer Interesse an Informationen zu der “Shell” hat, sollte mal nach wsologin() googeln, aber aufpassen, auf welche Seiten er anschließend geht. Falls es ein Server ist, muss dieser auf jeden Fall “bereinigt” werden. Wie genau die Hacker auf den Server gekommen sind, lässt sich schwer sagen. Es könnte über andere Software auf dem Server und dort enthaltene Sicherheistlücken geschehen sein (oder in Shopware) oder über FTP und den eigenen Rechner… ---
**Author:** ![artelier](https://avatars.discourse-cdn.com/v4/letter/a/e9c0ed/32.png) [@artelier](https://forum.shopware.com/u/artelier)\ **Post date:** [9. Dezember 2013 um 10:33 UTC](https://forum.shopware.com/t/trojanisches-programm/17238/9 "2013-12-09T10:33:12Z")
Hi HTH, was richtet das Programm den aus? Greift es Daten ab? Grüße ---
**Author:** ![Webgreat.de](https://avatars.discourse-cdn.com/v4/letter/w/ac91a4/32.png) [@Webgreat.de](https://forum.shopware.com/u/Webgreat.de)\ **Post date:** [9. Dezember 2013 um 21:21 UTC](https://forum.shopware.com/t/trojanisches-programm/17238/10 "2013-12-09T21:21:39Z")
An deiner Stelle würde ich hier ganz schnell Handeln, bevor es dein Provider macht. Wenn es sich dabei tatsächlich um eine Shell handelt, hast du ein Problem. Hier kommst du als Leihe nicht weiter. Kontrolliere mal per FTP alle Datein nach dem Änderungsdatum. Wenn du Datein findest die ein Datum besitzen was du nicht nachvollziehen kannst, lade dir diese Datei und guck dir diese ganz genau an. Es können auch Bilder sein, die eigentlich kein Bild sind sondern getarnte Scripts. Wenn dein Server nicht entsprechend Konfiguriert ist, kann der Angreifer die Kontrolle über die Maschine übernehmen und diese dann für alles mögliche missbrauchen. Bspw. als Daten und Virenschleuder, Teil eines Netzwerks um andere Systeme im Verbund / Netzwerk anzugreifen und das Opfer anhand der Masse an Anfragen lahm zu legen. Im schlimmsten Fall wirst du für entstandene Schäden haftbar gemacht. Wende dich an deinen Hoster, auch wenn er den Shop vom Netz nehmen wird. Gruß Gesendet von meinem iPhone mit [Tapatalk](http://tapatalk.com/m?id=1) ---
**Author:** ![solaradmin](https://avatars.discourse-cdn.com/v4/letter/s/c77e96/32.png) [@solaradmin](https://forum.shopware.com/u/solaradmin)\ **Post date:** [9. Dezember 2013 um 21:59 UTC](https://forum.shopware.com/t/trojanisches-programm/17238/11 "2013-12-09T21:59:04Z")
Der Virenscanner hatte nur diese eine Datei als kritisch erkannt, sie wurde mittlerweile gelöscht. Ein misstrauisches Gefühl bleibt. ---
**Author:** ![artelier](https://avatars.discourse-cdn.com/v4/letter/a/e9c0ed/32.png) [@artelier](https://forum.shopware.com/u/artelier)\ **Post date:** [9. Dezember 2013 um 22:16 UTC](https://forum.shopware.com/t/trojanisches-programm/17238/12 "2013-12-09T22:16:22Z")
Also ich würde das auch nicht auf die leichte Schulter nehmen. Ich hab grade gesehen das du auch ein 0 Communication Problem hast. Könnte das nicht auch in einen Zusammenhang stehen? ---
**Author:** ![solaradmin](https://avatars.discourse-cdn.com/v4/letter/s/c77e96/32.png) [@solaradmin](https://forum.shopware.com/u/solaradmin)\ **Post date:** [9. Dezember 2013 um 22:19 UTC](https://forum.shopware.com/t/trojanisches-programm/17238/13 "2013-12-09T22:19:16Z")
Nein, der Fehler tritt in einem anderen Shop mit anderer Domain auf. ---
**Author:** ![solaradmin](https://avatars.discourse-cdn.com/v4/letter/s/c77e96/32.png) [@solaradmin](https://forum.shopware.com/u/solaradmin)\ **Post date:** [10. Dezember 2013 um 08:19 UTC](https://forum.shopware.com/t/trojanisches-programm/17238/14 "2013-12-10T08:19:13Z")
Habe zwei weitere verdächtige Dateien gefunden. w.php und Un.php direkt im obersten 3.5.7er-Shopverzeichnis. Nachfolgend zwei Screenshots. Und wieder tritt der Name “FilesMan” auf. ---
**Author:** ![shopbesitzer](https://avatars.discourse-cdn.com/v4/letter/s/a88e4f/32.png) [@shopbesitzer](https://forum.shopware.com/u/shopbesitzer)\ **Post date:** [10. Dezember 2013 um 08:34 UTC](https://forum.shopware.com/t/trojanisches-programm/17238/15 "2013-12-10T08:34:51Z")
Wie die vorredner schon gesagt haben, du hast da ein Problem. Ich wuerde dir ebenfalls dringend raten, einen zu beauftragen, der sich damit auskennt, um das System zu säubern, falls möglich, und die Tuer zu schliessen, die ja immer noch offen sein kann, denn du hast ja bisher nur die Hinterlassenschaften des Hackers gefunden, nicht seine Eingangstuer. ---
**Author:** ![solaradmin](https://avatars.discourse-cdn.com/v4/letter/s/c77e96/32.png) [@solaradmin](https://forum.shopware.com/u/solaradmin)\ **Post date:** [10. Dezember 2013 um 08:42 UTC](https://forum.shopware.com/t/trojanisches-programm/17238/16 "2013-12-10T08:42:00Z")
Wer kennt sich damit aus? ---
**Author:** ![solaradmin](https://avatars.discourse-cdn.com/v4/letter/s/c77e96/32.png) [@solaradmin](https://forum.shopware.com/u/solaradmin)\ **Post date:** [10. Dezember 2013 um 08:48 UTC](https://forum.shopware.com/t/trojanisches-programm/17238/17 "2013-12-10T08:48:16Z")
Übrigens hat die Kaspersky Internet Security Software in der neuesten Version obige Datei mit dem “FilesMan”-Inhalt NICHT erkannt !!! ---
**Author:** ![hth](https://avatars.discourse-cdn.com/v4/letter/h/b77776/32.png) [@hth](https://forum.shopware.com/u/hth)\ **Post date:** [10. Dezember 2013 um 09:12 UTC](https://forum.shopware.com/t/trojanisches-programm/17238/18 "2013-12-10T09:12:43Z")
Hallo, die Shell kommt oft nicht nur in der Form des entpackten Progamms, das vom Virenscanner gefunden wurde, sondern auch noch in einer codierten Version vor. Die wird “irgendwie” dekodiert und produziert dann die lauffähige Version. Das können verschiedene Dateiformate sein - wie schon gesagt: Google. Mit der Shell kann der Server remote gesteuert werden, sie ist praktisch wie eine ssh-Shell zu gebrauchen. Somit sind prinzipiell alle Daten des Servers in Gefahr. Man kann aber auch Programme auf dem Server installieren, die sich dann z. B. in einem Bot-Netz beteiligen. Der zweite Screenshot scheint doch zu einem Upload-Programm zu gehören. Der Virenscanner kann nicht alle Programme erkennen, die man verwenden kann, um verbotene Dinge zu tun. Einfach, weil sie unter Umständen auch dazu verwendet werden können, um legale Aufgaben zu erfüllen. Ein Server kann durchaus Emails verschicken, verschickt er aber einige Hundert Pishing-Mails, darf er das nicht. Der Virenscanner alleine kann nicht garantieren, dass der Rechner nach dem Löschen einer Datei “sauber” ist. Das Problem ist hier im Forum aber nicht lösbar, beauftrage eine Firma, die sich auf derartige Fälle spezialisiert hat. Viele Grüße HTH ---
**Author:** ![Webgreat.de](https://avatars.discourse-cdn.com/v4/letter/w/ac91a4/32.png) [@Webgreat.de](https://forum.shopware.com/u/Webgreat.de)\ **Post date:** [13. Dezember 2013 um 17:42 UTC](https://forum.shopware.com/t/trojanisches-programm/17238/19 "2013-12-13T17:42:41Z")
Kleine Anmerkung, jeder weitere Betrieb ohne Problemlösung ist grob Fahrlässig. Ein kompromittierter Server kann dir das Genick brechen, das scheint dich nicht zu interessiere !? Server abstellen, Seite per DNS auf anderen Server, auf eine Wartungsseite leiten und das Ding untersuchen bzw. Wichtige Daten und Datenbank sichern. Server neu aufsetzen und DESINFIZIERTE Daten und Datenbank einspielen. Dabei ist Sorgfalt angesagt. Ein übersehendes .gif Bild und die Kiste ist wieder verseucht. Mehr Senf gebe Ich zu dem Thema nicht mehr ab. Es ist alles gesagt. Kontakt Daten findest du auf [webgreat.de](http://webgreat.de) oder google nach “kompromittierter Server agentur” suchen. Da gibt es eine Handvoll. Gruß Gesendet von meinem iPhone mit [Tapatalk](http://tapatalk.com/m?id=1)