Вирус или функция — uniplacer.php как убрать?

Question

[Amorchica]

Добрый день

Помогите вылечить сайт, что это, кого лечить wordpress, centOS, поддержку хостера?

Подцепил вирус с рекламной биржи на сайте появляется файл uniplacer.php и папка с билебердовым названием. Появляется сам, Wordpres 4.9.10, реклама вродебы даже не показывается - заходил на свои урлы которые в файле с базой

выполняю команду
find . -type f -print | xargs grep "uniplacer"
находит

./биллибирдакакаято/Update.php:  require_once($_SERVER['DOCUMENT_ROOT'].'/uniplacer_config.php');
./биллибирдакакаято/Update.php:            // Начнём заменять файлы, кроме файла Update.php - он заменится хвостом в uniplacer.php
./биллибирдакакаято/uniplacer.php:#_ZIP_NAME_uniplacer.php_#  // Строчку убирать НЕЛЬЗЯ - это идентификатор файла для скрипта обновления
./биллибирдакакаято/uniplacer.php:require_once($_SERVER['DOCUMENT_ROOT'].'/uniplacer_config.php');
./биллибирдакакаято/uniplacer.php:	* @var UniplacerCharset !!! Внимание !!! Конфигурится в uniplacer_config.php константой _UNIPLACE_CHARSET_ или при вызове конструктора.
./биллибирдакакаято/sync.php:require_once($_SERVER['DOCUMENT_ROOT'].'/uniplacer_config.php');
./биллибирдакакаято/sync.php:require_once($_SERVER['DOCUMENT_ROOT'].'/'._UNIPLACE_USER_.'/uniplacer.php');
./wp-includes/images/smilies/icon_angel.gif:	require_once($_SERVER['DOCUMENT_ROOT'].'/uniplacer_config.php');
./wp-includes/images/smilies/icon_angel.gif:	require_once($_SERVER['DOCUMENT_ROOT'].'/'._UNIPLACE_USER_.'/uniplacer.php');

явно злодейский код вставлен в кратинку
делаю

find . -type f -print | xargs grep "icon_angel.gif"

находит

./wp-content/themes/basepress/footer.php:        <?php include('/usr/www/mysite/wp-includes/images/smilies/icon_angel.gif');?>

Answer 1

[Amorchica]

Сам отвечаю - перестало появляется
Поискал все файлы на слово base64 заметил что в трех картинках есть это слово - удалил, перестало появлятся

слово base64 само по себе не зло, в обычном php часто встречается, но в картинках его быть не должно

теперь периодически ищю скриптом

#!/bin/bash
find . -iname '*.gif' -type f -print| xargs grep "base64" > result.txt
find . -iname '*.jpeg' -type f -print| xargs grep "base64" >> result.txt
find . -iname '*.jpg' -type f -print| xargs grep "base64" >> result.txt
find . -iname '*.htm' -type f -print| xargs grep "base64" >> result.txt
find . -iname '*.html' -type f -print| xargs grep "base64" >> result.txt
find . -type f -print| xargs grep -i "uniplacer" >> result.txt