Ein Botnetz nutzt eine Schwachstelle im Helix3-Framework von JoomShaper aus und hinterlässt das AntonKill-Defacement. So erkennen Sie, ob Ihre Joomla-Website betroffen ist – und wie Sie sie sauber bekommen.
Seit dem 5. Juli 2026 läuft eine breite Angriffswelle gegen Joomla-Websites. Betroffene Seiten zeigen statt ihres Inhalts eine schwarze Vollbildseite mit Totenkopf und dem Schriftzug „Hacked by AntonKill” – in einigen Fällen auch „Hacked by trenggalek6etar”.
Das ist kein gezielter Angriff auf Ihr Unternehmen. Ein Botnetz scannt das Netz automatisiert nach verwundbaren Installationen. Wenn es Sie erwischt hat, waren Sie schlicht erreichbar.
Die Ursache: Helix3 von JoomShaper
Verantwortlich sind kritische Schwachstellen im Helix3-Framework von JoomShaper – konkret im zugehörigen AJAX-Plugin. Über dieses Plugin kann ein Angreifer ohne Login Code in die Template-Optionen schreiben.
Der Ablauf ist unspektakulär und genau deshalb so wirksam:
- Das Botnetz findet eine Joomla-Seite mit verwundbarem Helix3.
- Es schreibt JavaScript in die Template-Konfiguration – keine Zugangsdaten nötig.
- Beim nächsten Seitenaufruf rendert dieser Code das Defacement im Browser der Besucherinnen und Besucher.
Der Fix ist seit dem 29. Juni 2026 als Helix3 3.1.1 verfügbar, aktuell ist 3.1.2. Nach ersten Berichten ist auch Helix Ultimate bis Version 2.2.7 betroffen. Wer nicht aktualisiert hat, ist weiterhin angreifbar.
Warum das Defacement das kleinere Problem ist
Ein Totenkopf auf der Startseite ist sichtbar, peinlich und schnell behoben. Die eigentliche Gefahr liegt darin, was über denselben Weg sonst noch eingeschleust werden kann.
Wenn ein Angreifer beliebiges JavaScript in Ihr Template schreiben kann, kann er auch Code einsetzen, der Login-Daten mitschneidet – auch die Ihres Joomla-Administrators. Genau deshalb gilt:
Melden Sie sich nicht im Backend einer möglicherweise kompromittierten Seite an, bevor Sie den eingeschleusten Code entfernt haben. Sonst übergeben Sie dem Angreifer Ihre Zugangsdaten beim Aufräumen.
Die Bereinigung sollte auf Datenbank- und Dateiebene erfolgen – per Datenbankzugriff und über FTP/SSH, nicht über das Joomla-Backend.
So prüfen Sie Ihre Seite
- Seite im Inkognito-Fenster aufrufen. Caching und eingeloggte Sessions verdecken das Defacement gelegentlich.
- Quelltext ansehen (
Strg/Cmd+U) und nach<script>-Blöcken suchen, die nicht von Ihnen oder Ihren Tools stammen. - Helix3-Version prüfen: Backend → System → Erweiterungen verwalten. Alles unter 3.1.1 ist verwundbar. Helix Ultimate: alles bis einschließlich 2.2.7.
- Template-Parameter in der Datenbank prüfen: In der Tabelle
#__template_stylessteht die Template-Konfiguration als JSON in der Spalteparams. Eingeschleustes JavaScript ist dort im Klartext sichtbar. - Access-Logs durchsehen: ungewöhnliche POST-Requests an Helix-Endpunkte, insbesondere seit Anfang Juli 2026.
- Unbekannte Admin-Konten in der Benutzerverwaltung.
Was zu tun ist
1. Eingeschleusten Code entfernen – vor dem ersten Backend-Login. Über die Datenbank, nicht über das Joomla-Interface.
2. Helix3 auf 3.1.2 aktualisieren. Beide zugehörigen Plugins, nicht nur das Template. Bei Helix Ultimate: auf eine Version oberhalb von 2.2.7.
3. Zugangsdaten wechseln. Joomla-Admins, Datenbank, FTP/SFTP, SSH. Wenn Sie sich zwischenzeitlich eingeloggt haben, ist das nicht optional.
4. Dateibestand prüfen. Defacement-Botnetze legen häufig zusätzlich Backdoors ab, damit der Zugang auch nach dem Update erhalten bleibt. Ein Update allein schließt die Tür, entfernt aber keinen bereits platzierten Nachschlüssel.
5. Backups kontrollieren. Ein Backup, das nach der Kompromittierung erstellt wurde, enthält den Schadcode. Suchen Sie den letzten Stand von vor dem 5. Juli 2026 – oder vor dem ersten auffälligen Log-Eintrag.
Das Muster hinter beiden Fällen
Parallel zu Joomla läuft gerade dasselbe Spiel bei JTL-Shops (siehe unseren Beitrag zur JTL-Shop-Sicherheitslücke CVE-2026-54390). Der Ablauf ist jedes Mal identisch: Lücke wird bekannt, Patch erscheint, automatisierte Scanner arbeiten sich innerhalb weniger Tage durch alle ungepatchten Installationen.
Der Unterschied zwischen einer betroffenen und einer nicht betroffenen Website ist selten technische Raffinesse. Es ist die Frage, ob jemand zuständig ist. Wer Erweiterungen einsetzt, übernimmt deren Update-Zyklus mit – und das lässt sich nicht an die Software delegieren.
Wir bekommen Ihre Seite wieder sauber
Ob Bereinigung einer defacten Joomla-Installation, Prüfung auf zurückgelassene Backdoors oder ein Wartungsprozess, damit die nächste Welle Sie nicht trifft: Wir übernehmen das.
Website-Bereinigung anfragen oder direkt anrufen unter 05121 – 29 520 22.
Bei einer bereits defacten Seite: Schreiben Sie das in die erste Zeile – akute Fälle ziehen wir vor. Und loggen Sie sich bis dahin nicht ins Backend ein.
Quellen: Borns IT- und Windows-Blog: Joomla Helix3-Lücke · CERT Cyberoo: Analyse der AntonKill-Defacement-Welle · JoomShaper Forum