Что делать если взломали блог на вордпрес?

Question

[Алёна Селезнева]

Здравствуйте, на днях враги-завистники взломали мой блог на вордпрес. Включили публикацию левых статей на английском языке, и редирект на google apstore. Установила плагин Wordfence, бесплатную версию, просканировала, но понятия не имею что там лишнее.

Тем не менее, обнаружила крайне подозрительные скрипты!





Потом начала менять пароли у пользователей с правами админа и авторов. И нашла юзера с правами админа которого я не назначала. И не могу удалить его...



В качестве временного решения, на стороне сервера закрыли полностью доступ в WordPress админ панель (отдает код ошибки 403 сейчас). Чтобы хакеры которые взломали сайт, не могли там лазить и устанавливать всякие 301 перенаправление.

Как теперь полностью почистить сайт после взлома?

Подскажите правильный алгоритм действий в моей ситуации. Как удалить вражеского пользователя, каким образом почистить сайт от вирусов и вредоносного ПО? И любые подсказки если Вам что-то говорят скрипты на картинках выше.

P.S

Также, просканировала антивирусом Avira (платная подписка) ноутбук и нашла 3 таких вируса:



Плюс, оказывается была какая-то утечка паролей. Это я прочитала в настройках браузера Google Chrome.

Заранее спасибо за советы.

Comments

[Saboteur]

Обычно просто восстанавливают сайт из бэкапа и меняют пароли.

[m0ze]

Saboteur, ага, и уязвимости не закрывают. Через пару часов взлом повторяется, и так до тех пор, пока хватает энтузиазма?

[Saboteur]

m0ze, вопрос был
"Как теперь полностью почистить сайт после взлома?"

[m0ze]

Saboteur, окей, вы не ответили на этот вопрос, т.к. чистка =/= восстановление из бэкапа.

[Saboteur]

m0ze,
1. пусть это решает топикстартер, а не вы
2. я не давал ответ, я написал комментарий.

[m0ze]

Saboteur, к чему тогда это словоблудие про "вопрос был", если в итоге вы просто начинаете сливаться?

[Saboteur]

m0ze,

к чему тогда это словоблудие

мда =)
нет что возразить по существу, надо переходить на личности?

[m0ze]

Saboteur, на личности никто и не переходил, а "по существу" вам первым же комментарием был задан вопрос, с которого вы неудачно съехать попытались :)

[Legal Adviser]

Мда... я бы такие сайты вообще не пускал бы в сеть ))) Это же не навязчивая пропаганда интим услуг. Вот так читают вас 12-16 летние девочки и что потом из них вырастает? МДА.... куда мир катится.. совесть продана, человеческие ценности втоптаны в грязь...

[shurshur]

Печально не то, что такие сайты есть, а что заходящие на подобные сайты девочки верят, будто бы это реальные живые люди пишут все эти статьи...

[Saboteur]

m0ze, Удачи, мудрый человек, который находит тех, кто "хочет съехать", ведь если хочешь найти - всегда найдешь, и пофиг на логику.

[m0ze]

Saboteur, что вам пофиг на логику я уже понял, но хорошо что вы это сами осознали.

[Saboteur]

m0ze, Д - Логика...

Answer 1

[m0ze]

Привет.

Ни один плагин/антивирус вам не найдёт все заражённые/вредоносные файлы. Без опыта в подобных случаях самостоятельно вы тоже вряд ли разберётесь, так что лучше сразу обратиться к специалисту (могу помочь, если что).

Если делали резервные копии сайта, то попробуйте откатиться до самой актуальной, которая была до взлома сайта, затем по логам ищите через что/как взломали сайт и ликвидируйте угрозу (чаще всего это либо очень слабый пароль на учётку администратора сайта, либо дырявый плагин).

В качестве временного решения, на стороне сервера закрыли полностью доступ в WordPress админ панель (отдает код ошибки 403 сейчас). Чтобы хакеры которые взломали сайт, не могли там лазить и устанавливать всякие 301 перенаправление.

У вас там уже шелл залит, так что эта мера никому не помешает (кроме вас). Грубо говоря, на этой стадии сам WordPress уже особой ценности для злоумышленника не представляет.

И нашла юзера с правами админа которого я не назначала. И не могу удалить его...

Потому что где-то в файлах есть код, автоматически пересоздающий пользователя при каждой загрузке сайта. Скорее всего это какой-то файл темы, но проверять нужно вообще всё в вашем случае. Один такой файл засветился на скриншоте - это

/wp-content/themes/twentytwentyone/inc/template-functions.php

, но могут где-то быть и другие.

И любые подсказки если Вам что-то говорят скрипты на картинках выше.

И без картинок понятно, что вам надо проверять весь сайт целиком.

Плюс, оказывается была какая-то утечка паролей. Это я прочитала в настройках браузера Google Chrome.

Утечка паролей относится, скорее, не к текущей проблеме с сайтом, а связана с утечками всевозможных баз за последние несколько лет. Видимо, какие-то ваши логины/почты/пароли в этих слитых базах есть, о чём и сообщил браузер.

З.Ы.: Авиру лучше сразу на помойку выносите - это не антивирус, а неудачная шутка. Windows Defender лучше будет, или тот же Eset Nod32.

З.З.Ы.: и осторожнее по порносайтам ходите :)

З.З.З.Ы.: у вас на сайте есть пачка PRO-версий плагинов. Покупали, или варез?

Answer 2

[Гена]

Windows 7 дырявый вроде как, windows 8 industry pro ставь хотя бы

Answer 3

[acwartz]

качаете WP и плагины чистые с оф. источников, тех же версий. И смотрите отличия в коде. Приколы с неудаляемыми четными записями - из этой серии.

Answer 4

[misa205]

А как же резервные копии? Левого админа можно из БД удалить.