Probleme de securitate - siteuri sparte (Hacked by RESIS-07)

Salutari!

In urma cu vreo 2 luni am descoperit ca cineva imi tot schimba userul si parola de la wp-admin la un proiect. Am updatat tema si toate pluginurile, s-a mai intamplat de cateva ori dupa aceea, intr-un final a renuntat.

In acelasi timp, un alt site din aceeasi nisa a fost redirectat in intregime catre o oferta CPA. Tema avea la setari posibilitatea de a integra bannere si cumva el a intrat aici si si-a pus codul lui de redirect. Am blocat din functiile temei acea sectiune, am curatat din baza de date redirectul si a fost totul ok. Apoi s-a repetat chestia asta la infinit si chiar nu am gasit pe unde a mai intrat, am abandonat siteul, a fost penalizat de google, e redirectat spre el si acum.

Astazi am descoperit alte 4 proiecte hackuite de-a binelea, apare un mesaj cu "Hacked by RESIS-07". Am cautat pe google aceasta semnatura si vad ca sunt indexate 1740 de rezultate cu acelasi text, deci e ceva masiv, nu neaparat a avut cineva ceva de impartit cu mine.


La fiecare dintre aceste cazuri se schimba si parola + user la wp-admin, ceea ce e destul de ciudat. Am mai descoperit acum inca cateva care merg perfect dar nu ma mai pot loga la wp-admin deci nu le-a dat jos inca dar datele le-a schimbat.



Intrebari:

1) A mai patit cineva acest lucru? Cum a rezolvat?

2) De ce se intampla? E vorba de teme de wordpress diferite (la 3 din siteurile sparte azi am teme diferite, 2 dintre ele free, una premium).

3) Pluginuri am cam aceleasi pe toate, dar e vorba de 2-3 pluginuri doar (yoast, Q2W3 Fixed Widget, Ninja Popups - platit) si le folosesc de ani de zile, pe o gramada de siteuri deci nu prea cred ca e de la ele.

4) Versiunea de wordpress - aici intradevar e o problema ca nu prea imi place sa fac update, am patit de cateva ori sa nu mai mearga perfect temele modificate si de atunci imi e cam teama sa dau update chiar la toate siteurile.





Multumesc frumos.

Citat:

---

Postat în original de edy12006

4) Versiunea de wordpress - aici intradevar e o problema ca nu prea imi place sa fac update, am patit de cateva ori sa nu mai mearga perfect temele modificate si de atunci imi e cam teama sa dau update chiar la toate siteurile.





Multumesc frumos.

---

Cat de veche e versiunea de wordpress?

Pe cele 4 sparte azi am WordPress 4.7.6

Pe cele 2 sparte acum 2 luni am WordPress 4.8.2 deci se pare ca la astea am actualizat si degeaba.


Mersi

La cine ai hostul? Poate ii intrebi pe ei care ar putea fi problema?

Daca si-a pus ceva fisiere de remote acces prin /uploads sau uneori chiar in interiorul core-ului wordpress poti sa actualizezi si sa cureti mizeria de oricate ori ca el va avea din nou acces la site, In general sunt roboti care fac asta in mod automat.

Back-up-uri periodice la siteuri, faci update, crapa tema pui totul la loc din back-up, merge totul ok o saptamana faci un nou back-up si tot asa.

In cel mai rau caz daca un update imi strica o tema stau max 2-3 saptamani pana incerc iar sa fac update sa vad daca se mai strica sau nu tema, de obicei la temele de la themeforest apar updateuri cu fixuri si atunci o sa mearga updateul la wp dupa ce vin cu fix-urile la tema.

Gazduirile sunt la mxhost toate, pe servere diferite.

Faptul ca nu faci update nu e in regula, multe vizeaza si aspecte de securitate. Poate fi si de la o vulnerabilitate de la host (alte conturi de pe shared vulnerabile, softurile de pe server samd) - am intalnit situatia la un client.

Poti apela la host sa iti spuna cine si cum modifica fisierele, sa se uite in logs, asta daca vor. As muta unul din siteuri pe alt host sa vad ce se intampla.

Am intrebat la mxhost si mi s-a spus ca nu pot afla cum sunt atacate aceste siteuri deoarece infectarea se face la nivel de platforma. Deci practic, din ce vad eu, sunt atacate doar wordpress-urile.

Pai daca singurul element comun e hostingul ( temele sunt diferite, versiunea la wordpress diferita), poate acolo e problema.

Verifica cu tool-u asta http://www.yougetsignal.com/tools/we...on-web-server/ ce site-uri mai sunt pe server cu tine...in caz ca mai gasesti unul cu aceeasi problema inseamna ca problema nu e neaparat de la tine :D

Metoda este urmatoarea:
1. Printr-un website nesecurizat (poate fi al tau sau nu) hackerul incarca un fisier prin intermediul caruia are acces la toate fisierele serverului
2. Urca un script care recreaza fisierele de fiecare data cand acestea sunt sterse - de verificat daca ai un index.php dubios sau ce se intampla cu site-ul atunci cand il modifici
Eu cand am patit-o imi punea fisierele in foldere noi, fiecare folder principal din public_html avea acel folder secundar

Solutia la mine a fost curatarea site-urilor de folderele respective + mutare pe server dedicat. Din pacate alta solutie nu prea ai...

Probabil e vre-un pusti de 12 ani care face asta ca sa-i arate prietenilor cat e el de hacker. Cu toatea astea iti da un pic de bataie de cap

Citat:

---

infectarea se face la nivel de platforma

---

-> nu prea are legatura cu accesul la toate fisierele serverului, conturile fiind securizate separat. Astea cu acces la "toate fisierele serverului" sunt povesti vechi, vulnerabilitati cunoscute si rezolvate (ex Symlinks), sigur mxhost are patch-urile instalate la nivel server. Aici pare a fi un bot care scaneaza net-ul dupa anumita versiune de wp sau plugin, cu o vulnerabilitate descoperita.

Instalare WP de la 0 + tema curata (asa cum ai instalat-o la inceput) + plugins instalate curat din repozitoarele WP + import db. La db as importa in format XML, nu varianta SQL cPanel (fara useri vechi si alte inregistrari minune). Instalare si configurare plugins Wordfence sau Bulletproof security.

Teme free pe money site, total neindicat. Money site neupdatat wp si plugins, total neindicat.

instalat si "sucuri security" care face scanning si trimite diverse notificari ca sa te prinzi rapid ca e o problema

Intaresc recomandarea pt sucury security.
Am patit ceva similar in urma cu ceva ani pe doua dintre site-urile mele. Unul era construit pe Joomla, altul scris de la 0 de mine. Ambele era pe acelasi cont de hosting shared. Am depistat secvente de cod inserate prin diverse fisiere, dar pt ca nu am reusit sa le gasesc si elimin pe toate, am preferat sa platesc, iar sucuri m-a ajutat. Doar voi stiti daca renteaza sa dati bani sau nu, ori va puteti descurca singuri.

Aceiasi problema o am si eu cu site-uri hacked, hostul tot la mxhost.

Eu am reusit sa le repar intr-un final cu un update de wordpress + update la absolut toate pluginurile si la teme. Nu stiu clar de unde era problema, insa tind sa cred ca de la vreun plugin.

Am insa un site la care nu ii dau de cap, continuu este redirectat spre niste minuni de cpa-uri. Astazi am cerut stergerea lui cu totul, ca m-am saturat sa il tot repun online.

Citat:

---

Postat în original de edy12006

Am insa un site la care nu ii dau de cap, continuu este redirectat spre niste minuni de cpa-uri. Astazi am cerut stergerea lui cu totul, ca m-am saturat sa il tot repun online.

---

Ai verificat sa nu fie vreo injectie in baza de date?

Citat:

---

Postat în original de Robert

Ai verificat sa nu fie vreo injectie in baza de date?

---

Tocmai asta e buba, injecteaza in baza de date si trebuie sa o repun online mereu. Nu stiu pe unde injecteaza mai exact insa nici nu mai avea rost sa imi bat capul intrucat l-am lasat mult timp asa si s-a dezindexat.

Citat:

---

Postat în original de edy12006

Tocmai asta e buba, injecteaza in baza de date si trebuie sa o repun online mereu. Nu stiu pe unde injecteaza mai exact insa nici nu mai avea rost sa imi bat capul intrucat l-am lasat mult timp asa si s-a dezindexat.

---

Ca idee, daca stergi baza de date si pastrezi doar postarile tale ( 1 singur tabel) , reinstalezi wp curat pe alt host, teoretic scapi de belea!

Citat:

---

Postat în original de Rapsodia

Ca idee, daca stergi baza de date si pastrezi doar postarile tale ( 1 singur tabel) , reinstalezi wp curat pe alt host, teoretic scapi de belea!

---

Asta nu am incercat, insa am repus online baza de date din backup mai vechi (inaintea infestarii) insa la cateva zile a reaparut problema. Degeaba rezolvam problema, daca cauza nu. Problema era la un plugin sau la tema de wp care era una free de data asta.

Citat:

---

Problema era la un plugin sau la tema de wp care era una free de data asta.

---

Daca e de la plugin sau tema free .. e deja alta discutie. Renunta la tema si plugin-uri!

Folosesti o tema sau pluginuri nulled? Daca da, atunci nu te mira de probleme.

Am specificat foarte clar ca am sters siteul cu totul, deci nu mai au sens chestii gen "incearca sa faci cutare lucru". Mersi frumos, insa asa cum am specificat, acest site avea o trema free (nu nulled). Celelalte siteuri aveau tema cumparata (o parte dintre ele, altele aveau tema clasica de wp).

Citat:

---

Postat în original de edy12006

Am specificat foarte clar ca am sters siteul cu totul, deci nu mai au sens chestii gen "incearca sa faci cutare lucru". Mersi frumos, insa asa cum am specificat, acest site avea o trema free (nu nulled). Celelalte siteuri aveau tema cumparata (o parte dintre ele, altele aveau tema clasica de wp).

---

S-ar putea sa fie spart host-ul , pune unul din ele pe alt host si vezi daca se intampla ceva

iti recomand sa descarci wpscan(linux) si sa iti verifici toate site-urile

nu te mai opresti?