Hilfe: Website gehackt - wie Vorgehen?

[drnoodle]

Servus Leute,

unsere Website wurde wohl Angriff eines Hackers.
Ich dachte erst mein Browser spinnt, es kamen diese Meldungen:



Danach habe ich beim Hoster (1und1) angerufen und zusammen mit einer Mitarbeiterin bin ich die Log-Dateien durchgegangen. Die Mitarbeiterin sagte am Telefon, wir seien definitiv gehackt worden. Normalerweise merke das Sytem sofort unbefugten Zugriff (zudem sind wir sind Premiumkunde), doch hier hat das System wohl versagt.

Nun habe ich erst alle Daten vom Server kopiert und danach alles gelöscht und Passwörter geändert. Kann es sein, das Google einfach einen Code falsch interpretiert und eigentlich alles okay ist? Mein Virenprogramm findet erstmal nichts in den Dateien der Webseite. Ich muss wohl mal alles nach "apexevor.cc" durchgehen?

Nachdem nun alles gelöscht ist, habe ich eine leere index.php hochgeladen und es kommt weiterhin die Warnung.

Würde mich freuen, wenn mir jemand helfen könnte. Ich sende gerne besagte Website per PM.

Danke und Gruss!

Edit:
Ich bin nun alle PHP-Dateien durch, dort stehen keine externen Links drin. Wie kann das sein, bzw. nach was muss ich suchen?

 

[KGM11]

Erstmal löschen und sauberes Backup hochladen. Die immer noch auftauchende Warnung ist kein Wunder, die Prüfung findet ja nicht in Echtzeit statt sondern die Adresse steht jetzt bei Google und wer-weiß-wem-noch in den Datenbanken für (potentiell) böse Seiten (Safe Browsing API). Du kannst warten bis der automatische Prüfdings wieder vorbeikommt oder die Überprüfung selbst anstoßen (siehe ganz unten im Google-Screenshot, evtl. mußt das bei anderen Suchmaschinen wiederholen falls die nicht kooperieren). Dann noch mehr warten bis das Ergebnis in die Datenbank wandert, dort von den Browsern der Benutzer heruntergeladen wird, etc.

Werbung oder anderes externes Zeug auf der Seite eingebunden? Wer hat das PHP verbrochen? Wer pflegt/wartet den Server?

 

[drnoodle]

Was kann denn die Ursache sein, ich finde aktuell nichts. Ich habe die Seite selbst laienhaft in HTML gemacht, weil ich es nicht besser konnte. Danach hat ein Student in php umgebaut und ein Adminbereich eingefügt, wo wir einfacher Seiten hinzufügen können.

Ist nichts so aufwendiges, nur Hintergrundflashvideos mit Typo drüber. Könnte der Student in php irgendwas falsche gemacht haben? Ich würde halt gerne den genauen Grund finden. Und wie Google auf diese "apexevor.cc" kommt ist mir schleierhaft.

 

[Chris_2k]

Ursache kann alles sein - ist die typo-version aktuell, sprich alle Updates eingespielt, Passwörter ausreichend sicher, eigene Scripte überprüft auf Schwachpunkte usw?
apexvor.cc ist auf jeden Fall ein Server in den USA. Wird wohl von einer Privatperson betrieben und ist vermutlich genauso gehackt worden und verteilt jetzt als Bot freudig die Malware.