Как найти и удалить вирус попавший на хостинг?

Question

[Анатолий Богомол]

Здравствуйте. Нужна помощь. Взломали один из сайтов клиентки, а на хостинге было около 10 других сайтов. И теперь все сайты не работают. Выдает ошибку 500, или переадресацию на рекламные сайты, вот несколько из сайтов www.eltik.com.ua www.fitospa.dp.ua www.edok.dp.ua на каждом сайте в index.php или index.html сверху добавлена строчка

Удалил этот код в ручную. При попытке зайти на сайт она снова добавилась.

Как можно убрать этот вирус? Где он может быть, действует на все сайты моментально.

Проверял хостинг на встроенном антивирусе, ничего не нашло, пишет чисто. И другие антивирусы показали что чисто.

Посоветуйте что нибудь. Или если кто может очистить хостинг от вирусов напишите в личку.

Answer 1

[alalala]

замените индексный файл для начала на исходный
в .htaccess смотрите что там

Comments

[alalala]

вирусы на лине не работают
это шелл или у кого то доступ есть

[Анатолий Богомол]

Есть сайты на htmlони тоже не работают, а на них нет файла .htaccess и включена переадресация на такие сайты

[Анатолий Богомол]

Как здесь ссылку написать? Не разрешает отправлять сообщение

[Анатолий Богомол]

<a href="https://prnt.sc/s2somv">Фото</a>

[alalala]

Анатолий Богомол, отключить не судьба наверное

для начала
отключите ftp
замените пароли к хостинг панели
замените пароли к сайтам у которых есть админка

только тогда начните
смотрите логи в панели, кто и кудой там лазил

[alalala]

так же к mysql поменяйте пароли

[Анатолий Богомол]

Вирус может быть в базе данных? Или только доступ к базе данных нужно менять?

[alalala]

Анатолий Богомол,
это не вирус, это может быть шелл
смените в mysql пароль на другой
+ смените к панели хостинга пароль и удалите пользователей ftp или отключите
+ в панели хостига должна быть вкладка лог
смотрите в нее, там четко будет видно кудой кто зашел

[101-s]

Анатолий Богомол, меняйте все пароли, в том числе и к бд
пишите в поддержку хостеру

[Анатолий Богомол]

Спасибо вам за ответы! Хостеру писал, они не хотят помогать с такими проблемами. Завтра попробую внедрить все что вы написали.

[alalala]

101-s, обычно хостерам побоку

[alalala]

Анатолий Богомол, обращайтесь
завтра с 9.00 в сети
сделаю все как надо

[101-s]

alalala, согласен , обычно побоку, но если хостинг виртуальный, то могли и сервер взломать, а это уже не в компетенции @bogomolAD

Анатолий Богомол Я в свое время пользовался Айболит https://revisium.com/ai/ , мне помогло

[Анатолий Богомол]

Сменил пароль к хостингу, удалил пользователя FTP, и удалил сайт который первый заразился.
Сайты восстановил с резерва хостинга. Пока все работает. Меняю пароли баз данных, и ставлю индивидуальную защиту на каждый сайт.

[DO12]

После восстановления в обязательном порядке обновить все CMS и модули до актуальных версий. Если есть древние модули, давно не обновляющийся, желательно найти замену.
После всего сделать локальный бэкап рабочих версий (и файлы и бд), на всякий...)

[Анатолий Богомол]

DO12, Спасибо. Делаю

Answer 2

[Karpion]

Надо смотреть, как организован хостинг. Возможно, надо переустанавливать операционку с форматированием диска. Надеюсь, оригинальные копии сайтов хранятся где-то отдельно у владельцев или в бэкапе.

Answer 3

[xmoonlight]

Хост-сервер уже заражён: собирайте всё, что можете (если нет бэкапов) и меняйте хостинг. Потом - проверяйте файлы на "заразу", используя бэкапы и/или айболитом (или этим), и вручную - тоже.

Comments

[DO12]

Если у вас коронавирус, вы будете винить домовладельца и менять квартиру?

[xmoonlight]

DO12, Какой?

[DO12]

Ну, допустим CCV)

[xmoonlight]

DO12, Как долго?

Answer 4

[Андрей Зимин]

Бэкапнуть систему с форматированием