Wenn du WordPress selbst hostest, solltest du jetzt genau hinschauen: Sicherheitsforscher haben eine besonders heimtückische Backdoor entdeckt, die sich in einem Ordner versteckt, den fast niemand kontrolliert. Sie läuft bei jedem Seitenaufruf mit, taucht im Adminbereich nicht auf — und legt sich einen eigenen Geheim-Administrator an.
Der Ordner, den kaum jemand prüft
Die Malware nistet sich im Verzeichnis /wp-content/mu-plugins/ ein — den sogenannten „Must-Use-Plugins“. Der Trick dahinter ist gemein: Dateien in diesem Ordner werden von WordPress bei jedem einzelnen Seitenaufruf automatisch geladen. Sie erscheinen aber nicht in der normalen Plugin-Liste und lassen sich dort nicht abschalten. Die Schaddatei trägt den unauffälligen Namen wp-index.php — sieht auf den ersten Blick aus wie eine harmlose WordPress-Datei.
Getarnt und in der Datenbank versteckt
Damit klassische Datei-Scanner nichts finden, arbeitet die Backdoor besonders raffiniert. Ihre Kommunikation mit dem Kontrollserver ist mit ROT13 verschleiert. Und die eigentliche Schad-Ladung wird gar nicht als Datei abgelegt, sondern direkt in der Datenbank gespeichert — unter dem Schlüssel _hdra_core in den WordPress-Optionen. So rutscht sie an Sicherheits-Scans vorbei, die nur nach veränderten Dateien suchen.
Ein Geist-Admin namens „officialwp“
Ist die Backdoor aktiv, holt sie sich Nachschub von einer versteckten Adresse und öffnet den Angreifern einen verborgenen Dateimanager. Dann wird es richtig unangenehm: Die Malware legt einen neuen Administrator mit dem Namen officialwp an und ändert die Passwörter gängiger Konten wie admin, root oder wpsupport auf einen eigenen Wert. Damit sperrt sie im Zweifel sogar dich aus deiner eigenen Seite aus.
Sie kommt zurück — es sei denn, du bist gründlich
Wer nur die Hauptdatei löscht, feiert zu früh: Die Kampagne installiert zusätzlich ein Schad-Plugin namens wp-bot-protect.php, das die Backdoor bei Bedarf wiederherstellt. Zum sauberen Aufräumen gehört deshalb alles auf einmal: wp-index.php und wp-bot-protect.php entfernen, den Datenbank-Eintrag _hdra_core löschen, den Admin officialwp entfernen und danach alle Passwörter neu setzen.
FAZIT: Ordner prüfen, bevor es andere tun
Diese Kampagne zeigt, warum der mu-plugins-Ordner regelmäßig auf die Prüfliste gehört. Ein sauberes, aktuelles Backup, eine Zwei-Faktor-Absicherung für Admin-Logins und ein kurzer Blick in die Datenbank sind der beste Schutz. Wer heute zehn Minuten investiert, spart sich im Ernstfall eine komplett gekaperte Seite.