Každou půlhodinu mi něco (vir) přepíše soubor .htaccess ve složce WWW u multihostingu Wedos. Blbý je, že tam mám cca 50 webů, takže je nějaká šance zjistit, kde se ten vir nachází? Nebo aspoň jakou bude mít koncovku? .php? .js? Má někdo zkušenosti? I když dám práva souborů jen na čtení, prostě se ten soubor přepíše a ani jeden web nejede. Je to ten centrální .htaccess pro celý NoLimitExta. Díky
Koncovka je to na 90% .php ci jeji varianty (php5, php7, php8,.... ).
Casto jsou tyto infikovane soubory sifrovane ( po otevreni neni videt jen PHP, ale zmet znaku ).
Maji specificke nazvy, bud podivne stringy s koncovkou .php, nebo se snazi vypadat napr jako obrazky, napr. image1.jpg.php
Ani odstranenim danych souboru nemusi dojit k zastaveni prepisovani, soubor muze bezet v nejakem procesu, nacten v RAM a smazani souboru to neovlivni. Zaroven soubory ani nemusi byt v docrootech danych webu, ale klidne i v nejake vyssi urovni ( na serverech se radi schovavaji napriklad do /tmp slozky )
Pokud Vam bezi vsechny weby pod jednim uzivatelem, mate praci s opravou tezsi - muze to byt kterykoliv z tech webu.
Doporucuji stahnout vsechny soubory k sobe do PC, projet je nejakym antivirem, aby detekoval a smazal nakazene soubory, pote si vypsat vsechny php soubory a projet rucne nazvy, pokud by se Vam na nejakem z nich neco nezdalo, tak zkontrolovat a pripadne smazat. Pote smazat vsechny soubory na hostingu a nahrat tam jen tyto "vycistene soubory" a doufat, ze to pomuze. Kdyby se mezitim dalo restartovat PHP na tom serveru, vubec by to nebylo na skodu.
Míst, které mohou být u WP špatně je více:
- mohli ti uniknout přístupové údaje (na hosting, na ftp, do WP administrace)
- problémové věci mohou být součástí WP databáze
- kompromitovaný soubor může být součástí jakékoliv části nebo i pluginu, pokud můžeš upravovat htaccess, tak si zadní vrátka mohl schovat prakticky kamkoliv a smazat z jednoho místa nemusí být dostatečné
- může být chyba na straně hostingu a přepisuje ti to proces mimo tvého oprávnění
Nejlepší je oslovit někoho, kdo se tím zabývá, když se na to ptáš, nejspíš s tím nemáš dostatek zkušeností a znalostí, může ti něco uniknout.
Osobně bych postupoval následovně:
- resetoval bych veškerá hesla na ftp, administraci hostingu, WP administace
- oslovil hosting, že máš tenhle problém, Wedos s tím občas umí pomoci
- udělal bych okamžitě zálohu všeho, databáze, data na ftp a bezpečně si jí u sebe uložit třeba do zipu, abys měl původní stav
- stáhl bych access logy a logy obecně a zkusil v nich najít, jak a odkud daný člověk přistupuje, následně se přes htaccess/hosting pokusil tenhle přístup zablokovat
- buď bych weby odstavil a nechal přístupné jen pro svoji IP adresu (Wedos umí udělat) nebo bych si aspoň udělal script, který by htaccess po minutách přepisoval na původní hodnotu
- udělal bych novou instalaci WP, převedl nastavení, pluginy a obsah, otestoval, vyčistil komplet ftp a novou verzi nasadil (je nutné sledovat, jestli problém nezačne znovu, třeba si pravidelně dělal komplet zálohu a zjišťovat, jestli neproběhly nějaké změny)
- začal bych prohledávat původní kód a analyzovat, co tam bylo za problém a jestli nebyl kód napadený
Takže prostě drbačka a drbačka...achjo...jak se to může vlastně dostat na hosting? Heslo mám napsaný offline na papírku...
---------- Příspěvek doplněn 01.12.2022 v 10:14 ----------
Možná bude nejlepší napsat script, co každou minutu opravdu ten .htaccess přepíše zpět, asi zadám do poptávek tady :-)
Script urcite neni nejlepsi reseni, mozna nejrychlejsi, ale zaroven uplne nejhorsi. Neni to reseni priciny, ale dusledku, coz nikdy nemuze fungovat. Nehlede na vypadky fungovani webu mezi prepisem htacces od viru a od Vaseho programu.
Budte rad, ze se vam zatim prepisuje pouze htaccess. Ted jste ve stavu, kdy nekdo z venku ma pristup k vasim datum, muze je modifikovat a delat si s nima co chce. Napriklad upravovat ceny na eshopech, menit cisla bankovnich uctu, atd. Takze rozhodne nedoporucuji tento problem neresit.
Script urcite neni nejlepsi reseni, mozna nejrychlejsi, ale zaroven uplne nejhorsi. Neni to reseni priciny, ale dusledku, coz nikdy nemuze fungovat. Nehlede na vypadky fungovani webu mezi prepisem htacces od viru a od Vaseho programu.
Budte rad, ze se vam zatim prepisuje pouze htaccess. Ted jste ve stavu, kdy nekdo z venku ma pristup k vasim datum, muze je modifikovat a delat si s nima co chce. Napriklad upravovat ceny na eshopech, menit cisla bankovnich uctu, atd. Takze rozhodne nedoporucuji tento problem neresit.
doporučení na script jsem psal jako druhou možnost, když hosting odmítne asistovat a web izolovat. Následovat by mělo smazání a nahrání nového, nikdy si totiž nemůžeš být jistý, co vše útočník změnil a kam všude má přístup.
Takže prostě drbačka a drbačka...achjo...jak se to může vlastně dostat na hosting? Heslo mám napsaný offline na papírku...
Ano, je to dost práce, většinou se finančně a časově vyplatí na zabezpečení dbát více. Heslo na papírku nemusí znamenat, že ti neuniklo, nikdy nevíš, jestli ho nějaký SW nevysledoval, jestli jsi ho omylem nenapsal do jiného formuláře, jestli nění někde problém na cestě a neunikl jinou cestou. Pokud máš heslo původní, co ti došlo v emailu, mohlo uniknout z emailu, kdo ví, mohu jen střílet.
Tak jsem to prošel, antivirus našel nějaký trojský koně, promazal jsem to...a stejně furt přepisuje .htaccess. Samozřejmě jsem udělal nové FTP a ostatní smazal/zablokoval.
50 webů na multihostingu, ručně 100 hodin...když to půjde dobře. Asi bude lepší odejít jinam. Weby jsou "neziskové" , najmout můžu sám sebe a nemám na tohle čas. Ale pokud může být napadena i databáze, tak pak to nemá žádnej smysl, asi zahodím 15 let práce no...
Jo tak. My máme taky multi hosting vlastní, ale weby na sebe navzájem nevidí. Takže v případě napadení máme tohle podchycený.
Jinak pak teda chápu ty hodiny. Nicméně pokud jsou napadený všechny stejně, tak by se dala vytvořit logika co to projde a promaže. Stačí napsat kroky.
Ale záleží jak máš weby postavený, zda jsou stejný (pluginy, šablona atd).
a máš nějaké staré zálohy? Porovnat je a najít pattern, který hledat dál. Stejně tak to je WP, dá se udělat kontrola integrity, WP a pluginy stáhnout a porovnat originální soubory. Tohle vše se dělá poloautomaticky, jde to opravdu rychle.
Nevím, jestli ti změna hostingu pomůže, drtivou většinu napadených webů, který jsem viděl je důsledkem chyby v samotném WP a pluginech, ne v hostingu.
Integrita souborů je ověření, že se soubor nezměnil. Jsou na to pluginy, já to ale raději dělám ručně. Ideální mít zálohu z ftp v čase, pak kontroluješ, které soubory se změnili proto staré verzi (třeba Total commander umí porovnat adresáře). Pokud nemáš starou verzi, udělej si novou čistou instalaci, nainstaluj tvoje pluginy a porovnej s tím, co je na webu.
Ty viry mohou být už nalezlé kdekoliv na ftp, není snadné se toho zbavit a je velice obtížné najít všechna místa, aby se znovu nevrátil, najít soubory, které se změnili může být část vítěžství. Postavit to znovu bude možná pro tebe rychlejší, data máš v databázi, ftp a nahrané souboru máš také, vem to na čisto.
Rád bych ti poradil konkrétněji, ale nemám dost informací, je to vždy trocha laborování a hledání.
No teď by mi stačilo jen ujištění, že DB jsou v pořádku. Může se tento vir infikovat i do databáze a spouštět se otamtud? Pokud ne, tak už čistím vše možný na bázi WP. Ale ten virus má asi vyšší IQ...teď přepisuje (jak se drápu furt na FTP) .htaccess i jednou za tři minuty...
Tak a teď už to dělá ihned po změně .htacces, tj. během sekundy...už se nedostanu do adminu ani....
---------- Příspěvek doplněn 07.12.2022 v 22:32 ----------
Máte někdo NolimitExtra multihosting a index.php v rootu vypadá takto?:
díky aspoň za tenhle kód, mno, stahuje si to další kódy z internetu, snaží se to očividně instalovat vlastní plugin, přepisuje několik souborů, víc času jsem jeho dekódování nevěnoval. Čekal bych, že to WP db si nahodí crony.
Nejde o IQ, útočníci mají týdny, měsíce na přípravu těhle "virů", ty máš hodiny, dny se tím vypořádat, není to snadné ani pro zkušené lidi.
Tady pro tebe je asi nejlepší řešení to prostě celé zálohovat, shodit a nahrát znovu. Čistění je velice těžké. Rád byh ti pomohl, ale nemám teď na to čas a nechtěl bych to udělat zdarma. Pokud jsi schopný sem napsat konkrétní problémy, budu se snažit ti odpovědět veřejně.
Je to pořád php kód, textové hodnoty jsou často zakódovaný jako \x##, proměnné jako název používají různé kombinace nul a písmen O. Názvy php funkcí se skládají se stringů postupně. Není to šifrované a ani jinak schované.
Šel jsem na to přes php fmt, převedl na AST, ručně jsem přeházel nějaké bloky, vypreparoval jsem z toho některé url a podíval se co je na nich. Neprocházel jsem to celé.
Zálohuj a dej si na to pozor, aktualizuj WP pravidelně. Není ještě jasné, jak tam pronikli, může to nastat znovu, podle informací k tomu kódu na internetu, tak je to skupina, která skenuje WP a využívá zranitelnosti, tak se tam teda nejspíš dostali.
