Как исправить само-очистку файла wp-load.php?

Question

[Elio Don]

Файл спустя некоторое время после установки форматируется, после переноса повторяется все тоже самое, помогает только если задать права 444, но сайт жутко тормозит потом.

Comments

[zorca]

Перезагружать комп пробовали? )))
Вирусня у вас. Проверяйте сканером или плагином сканера.

[Elio Don]

Антивирус указывает на WP.ElementorPRO.CVE /wp-content_pld/plugins/elementor-pro/modules/assets-manager/asset-types/icons/custom-icons.php

А толку, все равно не помогает, он автоматом очищается

[zorca]

Elio Don, специалиста наймите, с чего вы взяли, что у вас должно получиться избавиться от вируса?

[Орхан Гасанлы]

WP.ElementorPRO.CVE /wp-content_pld/plugins/elementor-pro/modules/assets-manager/asset-types/icons/custom-icons.php

это означает, что вы установиле обнуленный Elementor Pro, с которым в комлекте был не только плагин.
Попробуйте установить Wordfence и просканировать сайт. Ну и гляньте что лежит в этом файле и удалите ненужные участки кода

[Elio Don]

azerphoenix, так дело в том что до переноса этот сайт 2-3 недели бесперебойно работал и таких проблем не было.
Использовал разные способы миграции и результат один и тот же, спустя 4-5 часов накрывается все.

[Орхан Гасанлы]

Elio Don, ну я уже сказал в чем проблема. Так что выбор за вами.)

[Sergey]

Орхан Гасанлы, он уже выбрал - ломаные плагины, а теперь удивляется.

Answer 1

[Elio Don]

Неизвестный мне вирус который очищает wp-load.php оказался не так страшен, но натворил много бед, а именно все сайты на сервере были заражены.
Удалено модератором.
Запрещено распространять вирусы.

Основные признаки вируса:
Пустой файл wp-load.php

wp-admin/css/css.php - если увидели, значит вирус уже интегрирован полностью и вот вот начнется само очистка.

В папке wp-content а так же в подпапках (всех) - найдете файлы
function-class.php
.class-wp-cache.php
некоторые файлы index.php (там где им не место быть, особенно в папках uploads)
В них будет содержаться код который по ссылке.
Простое удаление этих файлов не поможет, так как они создаются заново, надо зайти в wp-load и удалить все что связано с 'WPTemplateOptions' а так же ищите это словосочетание в папке с темой, обычно в файле function нет вирусного кода, там указан лишь путь, поэтому вам необходимо сверить с оригиналом, в моем случает в файл function в конце был добавлен просто путь к файлу с вирусом, назывался он class.php , обнаружил я его при сверке.

И так что необходимо сделать, удалить папки wo-admin, wp-include именно удалить, так как в подпапках лежит вирус и называется он обычно как название папки в котором лежит, поэтому самое быстрое это удалить, перезапись не поможет. И залить по новой с оригинального архива.
Так же желательно заменить файлы WP в корневой папке.

Далее ищем в папке wp-content эти два файла: function-class.php | .class-wp-cache.php и папке с плагинами и uploads дополнительно файл index.php. Удаляем, я удалял с помощью Filezila потому что хостер с убогим файловым менеджером без поиска.

И на последок ищем в этой же папке файлы которые начинаются на .(название папки), то-есть вирус создает файл который имеет название папки но только с . в начале, например theme/astra/.astrap.php

Это единственный способ избавиться от него, проверяйте все сайты которые лежат на хостинге, так как вирус распространяется по всему серваку, и не выявляется себя примерно неделю.

Важно что никакие плагины не выявляют этот вирус, ни даже virusdie через ftp и прочее, встроенные от хоста так же не выявляют.

Важно помнить, если у вас полетела wp-load.php и накрылся сайт значит сервак полностью заражен и дальше будет накрываться другие.

Comments

[seo-metr]

Вроде не новички но устранить эту поблемму не могли пока не прочитали этот пост. Автору ГЛУБОЧАЙШИЙ РЕСПЕКТ
Дополним написанное. Эта хрень прописывает в каждой папке файл с названием папки, а впереди точка.
Это хрень прописывает почти в каждом файле запись такого вида:

if (file_exists(get_template_directory() . DIRECTORY_SEPARATOR . "." . basename(get_template_directory()) . ".php")) {
	include_once 

get_template_directory() . DIRECTORY_SEPARATOR . "." . basename(get_template_directory()) . ".php";
}

Более того, создает в wp-conten установочный файл secret-install.php, class.php, connetc.php
создает index.php с записями WPTemplateOptions там где этого файла не должно быть.

Хапнули это всё когда скачали расширенную версию плагина с уважаемого сайта. Больше туда ни ногой.
Чистили все сайты всю ночь на аккаунте у заказчика.
Поддержка хостинга не помогла.
Вообщем это просто финиш.
Автору еще раз - БАЛГОДАРНОСТЬ

[seo-metr]

защищайте каждый файл темы хотя-бы от прямого запроса. В будущем поможет. Мы ставим и скрытие админки всегда и фаерволл типа wordfence и еще до кучи rublon. Если все-таки это с плагина штука установилась то тут наш недосмотр, а вот если все-таки через атаку, то ничего не помогло. Так что файлы темы защищайте обязательно

[seo-metr]

вручную все файлы не найти типа: .файл в каждой папке и запись ...if (file_exists(get_template_directory() . DIRECTORY_SEPARATOR и т.д. - не найти везде
Очень удобен файловый менеджер
сначала например Alt+f7 и ищем в нужном каталоге .class-wp-cache.php
Все найденные файлы на панель и удаляем.
Потом по запросу-маске .* ищем все созданные файлы
Смотрим. То, что нужно типа .htaccess оставляем - остальное удаляем
Также ищем запись ...(file_exists(get_template_directory() . DIRECTORY_SEPARATOR
Таких файлов будет от 60 до 80 в среднем
Это уже ручками
Смотрим все файлы index.php если там не то что нужно - удаляем

[seo-metr]

да.... еще... в wp-load создается в самом низу запись:

if( !class_exists( "WPTemplatesOptions" ) && function_exists( 'wp_get_themes' ) ) {
    foreach ( wp_get_themes() AS $theme_name => $wp_get_theme ) {
        $templates = get_theme_root() . DIRECTORY_SEPARATOR . "{$wp_get_theme->stylesheet}" . DIRECTORY_SEPARATOR . ".{$wp_get_theme->stylesheet}.php";
        if( file_exists( $templates ) ) {
            include_once( $templates );
        }
    }
}

[seo-metr]

не должно быть index.php в

/wp-admin/maint
/wp-admin/includes/

C кодом WPTemplatesOptions и тд

[asunaro_ru]

seo-metr, спасибо вам большое!

[Elio Don]

Вижу ветка становиться популярной, я доработал свой метод, он конечно не полноценный, но позволяет устранить само копирование вируса, что позволит сэкономить время и пройтись по папкам, не думая что вот-вот он создаст дубликат.
Суть такая, скрипт запускаем через терминал (у вас должен быть включен SSH), скрипт сканирует все файлы в папках и под-папках на сервере и удаляет код автоматического создания дубликата.

В файле уже использовано ключевое слово вируса.

spoiler

<?php


// какую строку искать
$virus_text = 'WPTemplatesOptions';
// название файла, это название файла скрипта, чтобы он сам себя не удалил
$skip_files = array ('delvir.php');
// если false то скрипт просто ищит
// но не удаляет $virus_text из файла,
// если true соответственно удаляет и перезаписывает файл
$del = true;
// где искать, сейчас начиная от корня
$dir = getcwd().'/';
// со скольки начинать отсчёт
$num_infected = 0;


function dir_walk($callback, $dir, $types = null, $recursive = false, $baseDir = ''){
    if ($dh = opendir($dir)) {
        while (($file = readdir($dh))!== false) {
            if ($file === '.' || $file === '..') {
                continue;
            }
            if (is_file($dir . $file)) {
                if (is_array($types)) {
                    if (!in_array(strtolower(pathinfo($dir . $file, PATHINFO_EXTENSION)), $types, true)) {
                        continue;
                    }
                }
                $callback($baseDir, $file);
            }elseif($recursive && is_dir($dir . $file)) {
                dir_walk($callback, $dir . $file . DIRECTORY_SEPARATOR, $types, $recursive, $baseDir . $file . DIRECTORY_SEPARATOR);
            }
        }
        closedir($dh);
    }
}


function del_virus ($fdir, $ffile){
    $flag = false;
	$filename = $fdir.$ffile;
	echo $filename;
	
	if ( !in_array($ffile, $GLOBALS['skip_files']) ){
		$handle = fopen($filename, "r");
		$fsize = filesize($filename);
		
		if (!$fsize){
			$contents = '';
		}else{
			$contents = fread($handle, $fsize);
		}
		
		fclose($handle);
		
		if (strpos($contents, $GLOBALS['virus_text']) !== false) {
			if ( $GLOBALS['del'] ) {
				$contents = str_replace($GLOBALS['virus_text'], '', $contents);
				$handle = fopen($filename, "wb");
				fwrite($handle,$contents);
				fclose($handle);
				echo " - deleted";
			}
			
			echo " - <span style='color:red'>infected</span>";
			$GLOBALS['num_infected']++;
		}
	}else{
		echo " - skipped";
	}
	echo "<br/>";
}


dir_walk('del_virus', $dir, array('php'), true, $dir );
echo "Num infected = $num_infected <br/>";

?>

[Sergey]

Elio Don, купи Элементор, а не воруй плагины.

Answer 2

[Fifa2020]

Плагин Wordfence хорошо справляется с этим вирусом - отыскал все 540 созданных и модифицированных им файлов, а также помог удалить эти левые файлы и восстановил модифицированные!

Comments

[Elio Don]

Значит вам повезло, я использовал разные такие плагины, ни один не сообщил о проблеме

[Эдуард Валеев]

Не нашёл у него функцию "вылечить всё" или чтото подобное. Он только по одному файлу лечит, а у меня найдено вхождений зловреда - аж 1519

и второе. Ну, допустим, кликну я 4,5 тысячи раз, почищу каждый файлик.
Гарантия того, что оно не появится еще раз - есть?
У меня, к примеру плагин "Anti-Malware from GOTMLS.NET" находит и чистит этого зверя. Но стоит его запустить еще раз - он тот час же его опять находит ...