Was herauskommt, wenn fragwürdige Gestalten die Indizes der Suchmaschinen manipulieren, kann man frisch (und in englischer Sprache) im Blog von wpmu.org nachlesen.

Das Problem

Siobhan Ambrose gab einfach nur den Suchbegriff „free WordPress themes“ in Google ein und schaute sich einmal an, was in den Themes der ersten zehn Treffer an fragwürdigem Code enthalten ist – mit folgendem Ergebnis:

• Nur eine Site bot WordPress-Themes mit sicherem, modernen Code an, der problemlos alle Features der aktuellen WordPress-Versionen unterstützt. Diese Site war die offizielle Website wordpress.org.
• Eine weitere Site bot technisch veraltete WordPress-Themes an. Diese können zwar durchaus funktionieren, unterstützen allerdings keine aktuelleren Features wie Avatare, die Aufspaltung der Kommentare in Unterseiten, Galerien, Formatierungen der eingebetteten Bilder oder Schlagwörter. Sie wurden also seit Jahren nicht mehr an die Weiterentwicklung von WordPress angepasst. Wer diese Features nicht benötigt, kann diese Themes durchaus verwenden, wird aber Probleme bekommen, wenn die Ansprüche einmal steigen sollten. Es ist ja durchaus kein unüblicher Wunsch, ein linksbündiges Bild mit einer Bildunterschrift einzubetten.
• Acht Sites boten Themes an, die Spamlinks auf diverse, teils sehr fragwürdige Websites enthielten. In der Regel waren diese Links base64-codiert, also so realisiert, dass sie beim Bearbeiten der Theme-Dateien nicht direkt sichtbar werden und auch nicht leicht vom Anwender zu verstehen und zu bearbeiten sind. Zuweilen waren die Links auch offene SEO-Spam, mit CSS im Blog unsichtbar gemacht, aber weiterhin sichtbar für die Bots der großen Suchmaschinen. Jemand, der halbwegs koschere Absichten hat, würde nicht zu derartigen Mitteln greifen. Darüber hinaus wurde in einigen Themes auch ausgesprochen fragwürdiger und ebenfalls verborgener Code auf dem Webserver ausgeführt, auf welchem das Blog betrieben wird – insbesondere wurden Daten von anderen Servern im Internet nachgeladen und in der WordPress-Datenbank abgelegt. Es handelt sich bei diesen Themes um Spam, SEO-Spam und zuweilen sogar um Schadsoftware.

Kurze Zusammenfassung: Die Suche „free WordPress themes“ in Google liefert überwiegend gefährliche, aufdringlich nach Spam und Bloghack schmeckende Ergebnisse schon auf der ersten Ergebnisseite. Ein naiver Benutzer, der sich auf Google verlässt, ist verlassen und verwandelt sein selbstgehostetes WordPress-Blog in eine Spamschleuder oder stellt gar seinen Webspace Gestalten zur Verfügung, die in meinen Augen besser mit einer Gefängniszelle bedient wären. Ein „hübscher“ Beleg für die Tatsache, dass Google für Produkt-Suchen aller Art völlig nutzlos geworden ist.

Was tun?

Was soll nun aber ein interessierter Blogger machen, der gern ein hübsches Theme hätte, wenn er sich nicht einfach „schnell“ eines selbst machen kann. Die wenigsten Menschen werden Lust haben, nur für diesen einen Anwendungsfall PHP, CSS und HTML in der erforderlichen Breite zu lernen – man hat ja auch noch ein „richtiges Leben“. Ein nützliches Feature von WordPress, nämlich die einfache Anpassung des Designs durch das Hochladen und Aktivieren eines fertigen Themes, ist nutzlos geworden, weil das Angebot von Verbrechern und fragwürdigen SEO-Idioten überflutet wird, die über dieses Einfallstor Schadsoftware und Spamlinks auf private Websites bringen. Ein weiterer Schaden der Spam an einer Stelle, wo zunächst derartige Schäden gar nicht vermutet würden.

Nun, guter Rat ist gar nicht so einfach.

Wer sich bei seiner Theme-Suche auf offizielle WordPress-Sites beschränkt, ist auf einer relativ sicheren Seite. Die Themes, die bei wordpress.org oder bei WordPress Deutschland angeboten werden, haben eine breitere Nutzergemeinde, und sollte es dort einmal jemanden gelingen, ein „verseuchtes“ Theme hochzuladen, so ist die Wahrscheinlichkeit hoch, dass ein derartiger Missbrauch schnell erkannt und in offener Diskussion erörtert wird, was zum schnellen Entfernen des dreisten Versuches führen würde.

Doch selbst an solchen Stellen ist eine gewisse Aufmerksamkeit angemessen. Ein WordPress-Theme ist immerhin ein Stück Software, mit dem es einem anderen, in der Regel relativ anonym bleibenden Menschen ermöglicht wird, Code auf einem Webserver auszuführen. Diese Möglichkeit ist für Verbrecher und Spammer ausgesprochen attraktiv – es können Anmeldedaten ausgespäht, Links gesetzt, illegale und kriminelle Downloads angeboten und sogar gebloggte Text nachträglich verändert werden, wenn es gelingt, Bloggern ein verseuchtes Theme unterzujubeln. (Genau das gleiche gilt übrigens auch für Plugins, aber hier werden die meisten Menschen aufmerksamer und deshalb weniger geneigt sein, ein Plugin aus „irgendeiner“ Quelle zu verwenden.) Letztlich ist es eine Design-Schwäche von WordPress, dass Themes aus ausführbarem Code bestehen, und jeder WordPress-Anwender muss mit dieser Schwäche leben.

Um etwas selbstverantwortliches Handeln kommt also niemand herum. Das ist die wohl allgemeinste Aussage, die in Bezug auf Spam getroffen werden kann. Einfache, automatisiche Verfahren zur Erkennung fragwürdiger Themes – es gibt derartige Plugins – können nur eine Ergänzung sein und sind insofern gefährlich, als dass sie ein trügerisches Gefühl von Sicherheit erzeugen können. Natürlich kennen die Halunken, die einem Blogger ein Spam-Theme andrehen wollen, diese Plugins auch und werden gegebenenfalls nach Lücken in den automatischen Scans suchen, sollten derartige Plugins jemals eine größere Verbreitung finden.

Die folgenden Tipps sind nicht vollständig und liefern keine 100prozentige Sicherheit, aber sie helfen doch gegen die Mehrzahl der Versuche, ein Theme zur Spam zu machen:

1. Nach Möglichkeit auf offizielle WP-Sites zurückgreifen!
   Hier sind die Chancen am größten, dass die Themes (und anderer Code) sauber sind.
2. Vor der Installation Google fragen!
   Hat sich der Anbieter dieses Themes einen schlechten Ruf erworben, wird in Foren darüber diskutiert, dass die angebotenen Themes mit Spamlinks oder Malware angereichert sind? Wenn ja, denn herrscht Alarmstufe Rot. Natürlich kann einmal eine Panne passieren, aber Themes aus einer derartigen Quelle sollten mit äußerster Vorsicht behandelt und im Zweifelsfall besser gemieden werden.
3. Keine automatische Theme-Installation!
   Es ist wirklich einfach geworden, direkt aus dem WordPress-Dashboard heraus ein Theme zu installieren. Der Nachteil ist, dass man bei diesem Vorgang die Theme-Dateien nicht mehr zu Gesicht bekommt und gar keine Chance mehr hat, sie zu überprüfen. Sicher, die Themes kommen aus einer seriösen Quelle und werden hoffentlich kurz überprüft. Aber warum sollte grundlos vertraut werden, wenn eine Kontrolle möglich ist? Jemanden anders ein Theme installieren lassen, bedeutet, dass man diesem Jemanden das Privileg einräumt, Code auf dem Webserver der eigenen Homepage auszuführen – solche Privilegien kann man vielleicht einem persönlich bekannten Menschen gewähren, aber in einem anonymen, technischen und abstrakten Medium ist das immer gefährlich. Zum Beispiel ist der Server, von dem die Themes heruntergeladen werden, ein Ziel, das wohl mancher Kriminelle gern angreifen würde, um auf diese Weise Schadsoftware und Spam zu verbreiten. So ein Angriff kann auch einmal gelingen, und wenn er gut durchgeführt wurde, kann er sogar eine beachtliche Zeitlang unbemerkt bleiben¹.
4. Den Quelltext des Themes anschauen!
   Der Quelltext besteht aus ganz normalen Textdateien, die man sich in jedem Editor anschauen kann – Windows-Anwendern empfehle ich übrigens die Installation des für „normale“ Menschen gut bedienbaren Editors Proton, da Notepad eher ein Not-Pädd ist – und sich einmal anschauen sollte. Selbst, wenn man kein PHP lesen kann. Kein Programmierer macht seinen Quelltext ohne Not kryptischer, als es sein muss. Wenn in einem Theme Variablennamen wie $D8A0OQXQ0, oder auch Zeichenketten wie "U2NoYWRjb2Rl" oder "Vpu ova rva fcnzzraqre Vqvbg" auftauchen², denn will ganz offenbar jemand etwas verbergen. Warum sollte man das tun? Es gibt keinen Grund dafür, in einem offenen Quelltext Dinge verbergen zu wollen. Es ist ein ganz sicheres Zeichen dafür, dass in diesem Theme Dinge geschehen, die ein Leser ohne besondere Kenntnisse nicht nachvollziehen können soll.
5. Den Quelltext durchsuchen!
   Es gibt PHP-Funktionen, die in einem WP-Theme niemals benötigt werden und dort (in aller Regel) nichts zu suchen haben, aber sehr gefährlich sind. Das gilt insbesondere für fsockopen, urlencode, fread, fwrite, system, exec und eval. Die Suchfunktion des Editors kann solche Funktionsaufrufe recht schnell finden. Wer den Proton benutzt, sollte sich einmal das „dateiübergreifende Suchen“ anschauen³. Wenn eine der benannten Funktionen in den Themedateien auftaucht, ist das ein sehr starkes Indiz dafür, dass etwas nicht in Ordnung ist. Im Zweifelsfall sollte von der Verwendung des Themes Abstand genommen werden. Aber selbst, wenn derartige Funktionen nicht auftauchen, können immer noch spammige SEO-Links im Theme enthalten sein.
6. Das Theme anschauen!
   Was für Links erscheinen im Theme? Ist da ein Link auf die Homepage oder ein Blog des Designers? Gut, diese Eigenwerbung sei ihm für sein Geschenk gegönnt. Ist da ein Reklame-Link auf irgendeinen kommerziellen Anbieter oder Dienstleister, der auf diese Weise in Google und Konsorten nach oben gebracht werden soll? Da stinkt schon gewaltig. Gibt es irreführend beschriftete Links? Nicht gut. Gibt es Links, die nur erscheinen, wenn man JavaScript eingeschaltet oder ausgeschaltet hat? Alarm! Niemand muss einen seriösen Link mit JavaScript verstecken.
7. Das Theme genau anschauen!
   Zu guter Letzt sollte das Theme noch einmal ganz genau betrachtet werden, um mit CSS versteckte Links zu finden. Wer den Firefox als Browser verwendet – und wer tut das nicht – hat es relativ einfach. Im Menü Ansicht ▷ Webseiten-Stil gibt es die Option „Kein Stil“. Wenn sie aktiviert wird, denn wird für die Darstellung der Seite kein CSS verwendet. Nun können auch versteckte Links gut erkannt werden. Ein Link, der in dieser Ansicht sichtbar ist und beim normalen Betrachten nicht auffällt, ist ein deutliches Indiz dafür, dass hier persönliche Blogs in SEO-Spamschleudern verwandelt werden sollen. Von einem Klick auf derartige Links rate ich ab. Das Versteckspiel ist deutlich genug in seiner Botschaft, die sich nur an die Bots von Suchmaschinen richtet. Websites, die mit solchen Methoden nach oben gebracht werden sollen, sind Websites von fragwürdigen und oft kriminellen Zeitgenossen.

Ich hoffe, dass diese – wohlgemerkt: unvollständigen – Tipps vielen Menschen dabei helfen, Spam- und Malware-Themes für WordPress zu erkennen und zu meiden. Die meisten Versuche, jemanden unerwünschten Code in sein Blog zu schmuggeln, lassen sich mit den beschriebenen Methoden entdecken, ohne dass besondere Kenntnisse in PHP erforderlich wären. Wenn sie ein bestimmtes Theme unbedingt einsetzen möchten, sie sich aber nach dieser Lektüre und einigen Tests unsicher geworden sind, ob dies gefahrlos möglich ist, kann ich ihnen auch nur empfehlen, sich an jemanden zu wenden, der die Quelltexte verstehen kann. Zum Glück für uns alle gibt es ein Internet. Eventuell ist das Forum von WordPress Deutschland eine gute erste Anlaufstelle.

Spam verschwindet erst, wenn wir alle ihr keinen Raum mehr geben, die von den Spammern erwünschten Wirkungen zu entfalten.

¹Aber klar, ich weiß, was ein intrusion detection system ist. Ich hoffe auch, dass es eingesetzt wird. Ich weiß aber nicht, ob es eingesetzt wird. Außer den Serverbetreibern weiß das niemand. Wenn Vorkehrungen getroffen werden, denn wird dies nicht kommuniziert, wird für unerheblich gehalten. Man soll vertrauen. Blind und unwissend vertrauen. Allein bei dieser Haltung werde ich skeptisch.
²Beides sind übrigens keine willkürlich gewählten Texte… 😉
³Wer ein unixoides System benutzt, wird vielleicht mein kleines Shellskript mögen.