Взломали сайт на wordpress. Как убрать переадресацию на фишинговые площадки?

Question

[hendrixix]

Доброго времени суток. Сегодня утром поступили сообщения от пользователей о том что были сломаны все три наших сайта. История болезни:
Создано два аккаунта с правами администратора.
При входе на сайт переадресует на фишинговые площадки.
Сайт с примером autoamber.ru
Как убрать переадресацию?

Comments

[dollar]

А вас не волнует тот факт, что вам снова повесят переадресацию, да еще так, что этим же способом "отменить" вы не сможете?

[saund901]

Не использовать ВордПресс, или готовые плагины

Answer 1

[Анатолий]

Как убрать: восстановить из бекапа )) Чистить дольше.
Как защититься: права доступа на файлы, вход с определенных ip, плагины защиты,..
Если VPS, то много чего можно придумать.

Answer 2

[Ринат Умяров]

Сначала главное. Если нет бэкапа, то действия такие:

1. Заходите в базу данных вашего сайта через phpMyAdmin (может у вас что-то другое)
   
2. Находите таблицу wp_options
   
3. Заменяете адреса в разделах siteurl и home на адрес своего сайта
   

Теперь о втором. Если у вас устаревший ВП, плагины давно не обновлялись, то ломануть могут без проблем. После восстановления работоспособности сайта желательно отключить все плагины, проверить, в каких из них есть уязвимости. Просто пройдитесь по поисковику. Насчет взлома любого из ваших плагинов по любому будет заметка.
И да, не факт, что вам не встроили в сайт какой-нибудь сторонний js, который может отвечать за переадресацию или просто валяться, пока хакеру что-то не потребуется.

Comments

[Николай Дмитриев]

Зачастую люди ставят ломаные плагины и через пол года вылезают проблемы. Я бы рекомендовал отключать все плагины, которые не покупались и менять их на аналоги бесплатные, либо покупать плагины.

[Ринат Умяров]

Николай Дмитриев, да, сия проблема довольно распространена. Но в таком случае владелец сам себе враг. Мне уже попадался такой сайт. Передали на управление, а там пираточка WP Backery с сюрпризами стояли и Elementor Pro (тоже с ними). Да, одновременно. Хотелось смеяться и плакать, когда осознал фронт работ.

[Николай Дмитриев]

ren334, Как смогли найти "вирус"?

[Ринат Умяров]

Николай Дмитриев, сначала на сайт поругался касперскийс. с помощью AIbolit нашли вирусню. Там coinhive сидел, который подгружался с помощью встроенного инжекта в пиратский wpbackery. Выпилил плагин, вычистил таблицы со ссылкой на js файл. Собственно и все лечение.

Answer 3

[alex-1917]

Покажите ради интереса скрин страницы с установленными плагинами,
давно хотел свой черный список криворуких поделий обновить...

Comments

[hendrixix]

Подозрение пало на Convert Plus. Только он стоял на всех трех сайтах

Answer 4

[Алёна Селезнева]

У меня похожая ситуация на днях произошла, отдельно добавила вопрос со всеми подробностями и скринами. Буду благодарна за всякий дельный совет.

Comments

[hendrixix]

К сожалению не смогу помочь т.к. решил вопрос восстановив резервную копию.