Beliebtes WordPress Plug-In CAPTCHA installiert Hintertür
Seite drucken

Zusammenfassung

Jeder, der seine Webseite auf Basis von WordPress betreibt und das Plug-In Captcha von Simplywordpress benutzt, sollte dieses umgehend deinstallieren und statt dessen einen anderes Plug-In verwenden.

 

Ausführliche Information

„Ich bin nur Illustrator, ich brauche mich um die Sicherheit meiner Webseite nicht zu kümmern.“

Ach, tatsächlich?

WordPress ist eine ausgezeichnete Basis für die eigene Webseite. Mit relativ wenig Hintergrund Kenntnissen lässt sich die eigene Webseite gestalten. Mit Plug-Ins, also Erweiterungen, kann man die Funktionalität erweitern, sei es um hübschen Bildergalerien oder erweiterten Sicherheitsfunkionen.

Gleichzeitig ist WordPress ein beliebtes Angriffsziel für Hacker. Der Grund dafür ist einfach: der Login, um die Seite zu pflegen, findet bei allen Webseiten, die auf WordPress basieren, über die die gleiche Adresse statt: www.deinewebseite.xyz/wp_login.

Dort erscheint der Login und dann kann jeder, also auch Leute ohne Hacker Kenntnisse, Login Versuche starten. In der Realität nehmen Hacker dafür aber automatisierte Scripts und probieren Standard Login Namen und Passwörter einfach aus.

Um solche Login Versuche zu unterbinden, gibt es Plug-Ins, die zu häufige (und damit verdächtige) Login Versuche unterbinden: zum Beispiel mit Einblendungen von kleinen Rechenaufgaben, die der Benutzer vervollständigen muss, sogenannten Captcha Codes.

Auf meiner eigenen Webseite nutzte ich dafür das Plug-In Captcha vom Hersteller Simplywordpress.

Ich pflege drei Webseiten, davon waren zwei mit diesem Plug-In versehen, die dritte Seite hatte das Plug-In noch nicht. Die dritte Webseite wollte ich nun damit nachrüsten. Ich wunderte mich, dass ich das Plug-In Captcha über die Suchfunktion nicht mehr finden konnte. Statt dessen bekam ich nur andere Captcha Plug-Ins angeboten. Auch eine Suche nach dem Hersteller Simplywordpress brachte keine Ergebnisse.

Ich suchte im Internet und erschrak, als ich den Grund dafür las: man hatte festgestellt, dass das Plug-In Captcha von Simplywordpress eine Hintertür mitinstalliert. Somit verschaffte sich Simplywordpress Zugriff auf die Inhalte.

Nachdem ich das gelesen hatte, habe ich die Plug-Ins umgehend entfernt. Statt dessen nutze ich im Augenblick das Plug-In Google Captcha (reCAPTCHA) von BestWebSoft. Die Installation und Konfiguration war einfach: man wird auf eine Google Seite geführt, auf der man die zu überwachende Domain einträgt. Dort generiert man zwei geheime Schlüssel, die man wiederum in der Plug-In Konfiguration hinterlegt und fertig ist die Laube.

Wer sich nicht bei Google bedienen mag, der findet über das Stichwort diverse andere Plug-Ins für WordPress. Bei der Auswahl es Plug-Ins solltet Ihr darauf achten, dass der Hersteller sein Plug-In regelmäßig aktualisiert und dass diese mit Eurer WordPress Version kompatibel sind. Also nehmt lieber keine Plug-Ins, die zuletzt vor mehr als 6 Monaten aktualisiert wurden.

Quellen:

https://www.heise.de/security/meldung/Captcha-Plugin-fuer-WordPress-installiert-Backdoor-3923871.html

https://www.wordfence.com/blog/2017/12/backdoor-captcha-plugin/