---
title: "Malware in Typo3 4.5.2"
url: "https://www.typo3.net/d/109888-malware-in-typo3-452"
source: "typo3.net"
tags: ["Backend","Frage","Sicherheit"]
created: "2012-03-21"
last_reply: "2012-03-21"
replies: 1
solved: false
page: 1
pages: 1
lang: "de"
---

# Malware in Typo3 4.5.2

Backend · 1 Antwort · gestartet 2012-03-21

## Eröffnungsbeitrag

**Digital_Data** · 2012-03-21 · [Beitrag #1](https://www.typo3.net/d/109888-malware-in-typo3-452/1)

Hallo, auf der Installation eines Bekannten www.dramfilm.com ist die TYPO3-Installation anscheinend mit Malware befallen. Leider kenne auch ich mich mit TYPO3 nur wenig aus, bin aber fit in PHP und JavaScript.

Ich konnte das Problem bisher wie folgt einkreisen:
Der Aufruf von vorhandenen Seiten ist quälend langsam. Ruft man eine nicht vorhandene Seite auf, so kommt kein Fehlerdokument oder eine Fehlermeldung, sondern es wird auf medicshops.net verzweigt. Das gleiche passiert im Admin-Menü unter "DB-Überprüfung/Raw search in all fields" wenn mman den Knopf "Search all records" betätigt, im rechten Frame wird dann ebenfalls diese Seite geöffnet.

Am 17.03. wurden folgende Dateien zumindest geändert:
Im Verzeichnis typo3temp\compressor\
fileedit-39f53d3fbc86ad9b020710d3c8a9fa73.js
t3_recycler-a679bad4636b3e2b9698cf5421fe5322.js
t3editor-eddb80ac0bb75c72697bff3739060068.js

sowie die CSS-Dateien:
tx_scheduler_be-308998d4db841913d45a87398c10feef.css
customExtJs-ef2f44d5bbf1ed6648e2871b888c266a.css
mod_styles-118ce59d4a7f63cdbdf4ef8ccce9bb42.css

Leider ist das alles für Reenginering arg complex. Es sind sicher keine anderen Dateien geändert, da über alle Dateien mit Protokoll und Datum gescannt wurde.

Außerdem meldet Admin öfter "Router kann eine externe Datei nicht aufrufen"

Weiter war anscheinend vorher 11.02. noch ein anderer Angriff, der in jedem Verzeichnis eine 663.php-Datei hinterlassen hat, ca. 100. Diese habe ich bereits gelöscht.

RealURL scheint nicht aktiviert, ebenfalls ist in localconf.php keine Weiterleitung definiert. Zwar lädt diese Datei tinymce_rte/static/full.ts nach, aber auch dort sind keine Weiterleitungen. Die Datenbank habe ich bereits komplett exportiert und mit Textsuche keine entsprechende URL gefunden. Außerdem sind keine.htaccess aktiviert.

Ich wäre für eine Hilfe dankbar. Falls keine Problemlösung möglich, wäre ich dankbar für die Beantwortung folgender Fragen.

Ich hätte die JS_Dateien schon umbenannt, aber weder das Ändern der Dateiattribute noch das Umbenennen sind per FTP möglich.

Was passiert, wenn ich die oben genannten Dateien lösche ? Was funktioniert dann nicht ?
Würde es helfen eine höhere Version überzuinstallieren ?

Bis dann Jürgen

## Antworten

### [#2](https://www.typo3.net/d/109888-malware-in-typo3-452/2) · thn · 2012-03-21

> **Digital_Data schrieb:**
>
> Leider ist das alles für Reenginering arg complex. Es sind sicher keine anderen Dateien geändert, da über alle Dateien mit Protokoll und Datum gescannt wurde.
>
> Außerdem meldet Admin öfter "Router kann eine externe Datei nicht aufrufen"
>
> Weiter war anscheinend vorher 11.02. noch ein anderer Angriff, der in jedem Verzeichnis eine 663.php-Datei hinterlassen hat, ca. 100. Diese habe ich bereits gelöscht.

<http://typo3blogger.de/webseite-gehackt-so-gehts-weiter/>

Nimm die Seite halt vom Netz und/oder spiel das Backup ein.

Also ich wundere mich nicht unbedingt, dass die Seite
"langsam" laed, wenn ich mir z.B. "http://[www].dramfilm[.]com/fileadmin/templates/sub_navi.css" ansehe...

Das Ganze ist hier aber nur nebensaechlich ein TYPO3-Problem.

gruss tom

---

Quelle: „Malware in Typo3 4.5.2“, typo3.net, https://www.typo3.net/d/109888-malware-in-typo3-452
Beiträge von Mitgliedern des Forums. Bitte mit Link auf die Diskussion zitieren.