{"id":5131,"date":"2026-10-02T10:28:44","date_gmt":"2026-10-02T08:28:44","guid":{"rendered":"https:\/\/www.claudia-klinger.de\/digidiary\/?p=5131"},"modified":"2026-10-02T10:35:43","modified_gmt":"2026-10-02T08:35:43","slug":"krass-russische-hacker-nutzten-unbemerkt-mein-veggi-blog","status":"publish","type":"post","link":"https:\/\/www.claudia-klinger.de\/digidiary\/2026\/10\/02\/krass-russische-hacker-nutzten-unbemerkt-mein-veggi-blog\/","title":{"rendered":"Krass: Russische Hacker nutzten unbemerkt (!) mein Veggi-Blog (Cloaking)"},"content":{"rendered":"

Es war reiner Zufall, dass ich den Hack entdeckte. Eigentlich war ich auf der Suche nach einem „unsichtbaren“ Z\u00e4hler<\/a>, von dem ich nicht mehr wusste, wo ich ihn eingebunden hatte. Daf\u00fcr sichtete ich die Theme-Dateien meines Veggie-Blogs Unverbissen vegetarisch<\/a> und fand in der Header-Datei einen langen russischen Text! Keine Ahnung, wie lange der schon da stand, das Blog hat seit einem Jahr keinen neuen Eintrag und ich war lange nicht drin.<\/p>\n

Den Text hab ich gel\u00f6scht, damit war es aber nicht getan<\/strong>. Per FTP fand ich im Wurzelverzeichnis zwei Dateien, die da nicht sein sollten. Eine zeigte ich meiner Abo-KI, die meine Bef\u00fcrchtung best\u00e4tigte: Die Hacker hatten sich eine Hintert\u00fcr eingebaut und noch andere Dateien infiziert. Nach dem L\u00f6schen lie\u00df sich die Startseite nicht mehr aufrufen (Fehler 500), zum Gl\u00fcck kam ich aber noch in den Admin-Bereich. Ich will euch nicht l\u00e4nger mit Details langweilen: Am Ende hat ein Update auf die neueste WordPress-Version geholfen, alles ist wieder ok!<\/p>\n

\"\"<\/a><\/p>\n

Mein Hoster (Is-Fun<\/a>) meinte dazu: „Letzte Woche ist eine L\u00fccke in WP wieder bekannt und massiv ausgenutzt worden, da hat es einige im Zyklus erwischt<\/em>“ Es gibt einen Heise-Artikel zum Vorfall WordPress-L\u00fccke nur Stunden nach Patch attackiert<\/a>, in dem es hei\u00dft:<\/p>\n

Betroffen sind WordPress-Versionen von 4.7.0 bis einschlie\u00dflich 7.1.1. Bislang stehen als fehlerbereinigte Fassungen WordPress 7.1.2, 7.0.6, 6.9.9, 6.8.10 sowie Backports f\u00fcr alle \u00e4lteren Zweige bis hinunter zu 4.7.37 zur Verf\u00fcgung.<\/p><\/blockquote>\n

Und ich hatte gedacht, mit einer Uralt-Version auf der sicheren Seite zu sein – weit gefehlt!<\/p>\n

Angriff erkennen, aber wie?<\/h2>\n

Das Blog sah von au\u00dfen ganz normal aus und funktionierte einwandfrei. H\u00e4tte ich nicht nach dem Z\u00e4hler gesucht, h\u00e4tte ich ihn garnicht entdeckt. Laut GEMINI liegt das an einer Technik namens „Cloaking“ (Tarnung). Dabei pr\u00fcft der eingeschleuste Schadcode, woher die Besucher kommen. Normale Browser-Aufrufe mit deutscher IP bekommen das regul\u00e4re Blog zu sehen, Suchmaschinen-Bots oder Besucher-Aufrufee, die bestimmte andere IPs mitbringen, sehen den manipulierten Inhalt. Also z.B. russischen SEO-SPAM oder Links zu illegalen Casino-Seiten, wie in meinem Fall.<\/p>\n

Wie k\u00f6nnte man so einen Angriff also erkennen? GEMINI listet z.B. folgende M\u00f6glichkeiten:<\/p>\n