На сайте стал появляться popup с угрозами, как найти?

Question

[jjjohanson]

На моем сайте раз в месяц появляется поп-ап сообщение, что якобы мвд заблокировало телефон. Появляется только в мобильных браузерах. Чтобы исправить ситуацию я просто удаляю всю директорию wp-includes и загружаю полностью ее из бэкапа. Через месяц окно опять появляется. В коде ничего найти не получается.

Куда смотреть и как вычислить виновника? Ощущение, что происходит редирект - в адресной строке домен меняется на разные сайты постоянно - mvd-lock.info , mvd tech и прочая лабуда),

spoiler

но несмотря на это, попап будто отображается поверх контента моего сайта:

spoiler

Comments

[Рональд Макдональд]

У вас плагин OptinMonster стоит?

[jjjohanson]

Рональд Макдональд, нет, такого нет

[zorca]

jjjohanson, я думаю, это уже сидит в базе. Берете какой-нибудь менеджер БД и ищете по базе подозрительные ссылки, подключающие скрипты.

Answer 1

[fStrange]

Так просто вы не найдете.

Если блок с рекламой реанимируется сам, это значит у вас где то шелл на сайте лежит.
А шелл надо искать. Он может быть как в файлах, так и в бд. А может быть в наличии уязвимость какого нибудь плагина.

На практике у одного из клиентов встречалась и реанимация через крон. Хотя конечно такие экзотически варианты прошивки рекламы встречаются редко.

Для начала попробуйте откатиться на старый бекап. Затем обюновите плагины и версию вп до последней, затем смените пароли админам.

если это не помогает, могу помочь сам, уже на финансовой основе.

Answer 2

[Spaceoddity]

Вначале надо с веб-инспектором повозиться - кто вызывает редиректы, откуда... У меня бывало когда сам провайдер в трафик внедрял левый код (типа рекламная интеграция).