Как побороть вирус на сайтах?

Question

[fedorchuk]

Есть хостинг с 4 сайтами. Два сайта на wordpress, и два на хтмл (на одном из них есть js, а другой чистый html).
Произошел взлом 2 сайтов (1-wp, другой - чистый хтмл)
Суть взлома:
ХТМЛ: создается index.php который генерирует страницу с товарами какого-то японского магазина
Wordpress: также как и предыдущий случай, но вирус прописывается в уже существующий index.php.
После удаления через 30-60 мин. вирус возвращается.
на хостинге появились папки и файл TMP/run/httpd.pid (6 bytes) удалить не могу, кроме этого появляются файлы с какими-то метками и датами на всех 4 сайтах.

Вопрос, где может сидеть корень этой заразы? Пока полностью меняю все файлы движка эта хрень опять появляется.

Comments

[Ярослав Иванов]

качаешь сайт с ftp и сканируешь nod32

[iBird Rose]

ну вот теперь то точно начнешь делать бекапы, правда?)

[fedorchuk]

iBird Rose: бекапы автоматом делает хостер. Проблема в том, что если злоумышленник получил доступ к сайту, то бекап не спасет, так как там уже дырка есть и она известна злоумышленнику, но не известна мне. Нужно понять как или через что он это сделал.

[fedorchuk]

Ярослав Иванов: говорит, что вирусов нет, правда не нод.

[Ярослав Иванов]

fedorchuk: " - Это ты выйграл миллион в казина ?
- Да, только не миллион а квартиру и не выйграл а проиграл "

[iBird Rose]

fedorchuk: дырка в вордпрессе. потому что их в нем полно. можешь погуглить. возвращай бекапы и защищай WP. также в гугле способов полно

Answer 1

[zooks]

1. Просканируй AI-Bolit
2. Удали вирусы
3. Обнови движки сайтов

Comments

[fedorchuk]

не запустился, "php.exe не является приложением windows"

[Сергей]

fedorchuk: хаха) У вас ничего не получился видимо) Идите на фрилансе попросите вылечить.

[fedorchuk]

Сергей: по существу нечего написать?

[Сергей]

fedorchuk: По существу информатика 8 класс. А если серьезно то айболит надо на сервере из командной строки запускать, никак не двойным кликом в вашей винде

[fedorchuk]

Сергей: Есть айболит для win, его и запускал.
Я писал, что у меня нет сервера, я арендую хостинг, есть лишь фтп доступ, поэтому "командная строка" не мой случай.

[zooks]

fedorchuk: на хостингах есть ssh, в котором можно запустить сканирование. Под Windows автор AI-Bolit предлагает два варианта - запустить exe, либо запустить скрипт, если php уже установлен на машине.

[Сергей]

fedorchuk: https://revisium.com/ru/order/ Обратитесь к спецам тогда. Наверняка вы сами не справитесь и зараза не уйдет. Где-то останется дыра

Answer 2

[ivkol]

через filezilla может быть взлом. то есть корень заразы - в ftp клиенте

Comments

[fedorchuk]

у меня другой клиент. Угнать пароль могут если хранить его в клиенте или в любом случае?

[Сергей]

Это наверное один из миллиарда случаев)

[ivkol]

Сергей: со мной произошел.