(16-01-2023 19:43)Zaperr44 napisał(a):  Hej, @[ggusiaja] czy też brak ci ankiet od Kantara? Ostatnia mi przyszła 19.12 i do tej pory pustka, nic...jakby mnie zbanowali

(04-03-2023 15:12)ggusiaja napisał(a):  Najpierw była próba przywrócenia kopii zapasowej i przez chwilę strona działała, jednak wciąż była zainfekowana i została zablokowana, aż do usunięcia zainfekowanych plików. Pliki z wirusami usunęłam wszystkie, z wszystkich stron na serwerze, które posiadam. Szczerze powiem myślałam, że będzie to trudniejsze, ale sama to zrobiłam i plusem jest to, że czegoś nowego się nauczyłam. Niestety - to nie pomogło tak jak chciałam, ponieważ jak wchodzę na stronę następuje jakieś dziwne przekierowanie. Nie wiem w jakim pliku mam tego szukać i jak to usunąć lub zablokować Oczywiście poszukiwałam w Internecie jakiś wskazówek, ale nie znalazłam albo za mało się na tym znam.

(06-03-2023 10:17)Kell napisał(a):  

(04-03-2023 15:12)ggusiaja napisał(a):  Najpierw była próba przywrócenia kopii zapasowej i przez chwilę strona działała, jednak wciąż była zainfekowana i została zablokowana, aż do usunięcia zainfekowanych plików. Pliki z wirusami usunęłam wszystkie, z wszystkich stron na serwerze, które posiadam. Szczerze powiem myślałam, że będzie to trudniejsze, ale sama to zrobiłam i plusem jest to, że czegoś nowego się nauczyłam. Niestety - to nie pomogło tak jak chciałam, ponieważ jak wchodzę na stronę następuje jakieś dziwne przekierowanie. Nie wiem w jakim pliku mam tego szukać i jak to usunąć lub zablokować Oczywiście poszukiwałam w Internecie jakiś wskazówek, ale nie znalazłam albo za mało się na tym znam.

Jeśli masz Wordpressa i po zhakowaniu pojawia ci się japońska strona, a po przeskanowaniu nie można znaleźć źródła hacku a jedynie jego efekty, to z dużym prawdopodobieństwem jest to bardzo popularny hack znany jako lock360. Po pierwsze poczytaj sobie tu https://www.claudiokuenzler.com/blog/1183/technical-analysis-hack-php-script-running-process-read-code-from-memory. Jest to dość techniczna analiza, ale pokazuje, które pliki są atakowane i jak działa atak. Prawdopodobnie potworzyło ci na serwerze dziwne pliki index.php w praktycznie każdym folderze i nadpisało plik .htaccess w głównym katalogu. Przywróć poprawny plik .htacess (możesz np. pobrać czystą instalkę Wordpressa i skopiować z niej .htacess z głownego katalogu). Po drugie możesz sobie w pliku .htaccess dodać formułki uniemożliwiające dostęp do plików pozwalających na dostęp do twojego serwera, które wykorzystuje ten hack:

Kod:

<FilesMatch "^(about.php|radio.php|content.php|lock360.php|wp-l0gin.php)$">
Order Allow,Deny
Deny from all
</FilesMatch>

Zablokuje to dostęp z zewnątrz do plików będących wektorem ataku.
Ustaw .htaccess na uprawnienia 444 (tylko do odczytu, w przypadku modyfikacji przez ciebie będziesz musiała przywrócić uprawnienia na 777, a po modyfikacji ustawić je z powrotem na 444).

Skrypt atakuje i modyfikuje pliki o nazwach about.php, radio.php, index.php, content.php, lock360.php, admin.php, wp-login.php, wp-l0gin.php, wp-theme.php, wp-scripts.php, wp-editor.php, więc te należy znaleźć i prześwietlić czy nie zawierają na początku zawartości dziwnych ciągów znaków, a nadmiarowe pliki index.php trzeba pokasować (jeśli nie znasz struktury Wordpressa jest to mozolna praca. Jeśli nie znasz się na tym możesz pościągać czyste instalki Worpressa, swoich zainstalowanych modułów i skórek i porównać ich strukturę z tym, co masz zainstalowane u siebie).

Najlepiej zgraj cały serwis do siebie na dysk, napraw go i wrzuć ponownie na serwer. Inaczej może być to walka z wiatrakami, gdzie ty naprawiasz jedne pliki, a inne w tym czasie są infekowane.

Powodzenia i pamiętaj na bieżąco aktualizować swój serwis. Jeśli masz na tym samym serwerze jakieś stare instancje Wordpressa, to albo je zaktualizuj, albo wywal, ponieważ hakując jednego z nich infekcja rozprzestrzenia się praktycznie na wszystkie inne katalogi.

(10-03-2023 15:52)Kryspin napisał(a):  ggusiaja jesteś Ty może jeszcze w nettrack i zlecałaś przelew w tym miesiącu i Ci doszedł?

(10-03-2023 16:37)ggusiaja napisał(a):  

(10-03-2023 15:52)Kryspin napisał(a):  ggusiaja jesteś Ty może jeszcze w nettrack i zlecałaś przelew w tym miesiącu i Ci doszedł?

Jestem, zleciłam i jeszcze nie doszedł. A mieli wczoraj robić po 9, bo taka była informacja od nich.

(10-03-2023 17:01)Kryspin napisał(a):  

(10-03-2023 16:37)ggusiaja napisał(a):  

(10-03-2023 15:52)Kryspin napisał(a):  ggusiaja jesteś Ty może jeszcze w nettrack i zlecałaś przelew w tym miesiącu i Ci doszedł?

Jestem, zleciłam i jeszcze nie doszedł. A mieli wczoraj robić po 9, bo taka była informacja od nich.

Ja do nich pisałem i dziś po 8 mi odpisali że wczoraj po 15 księgowość wysłała informacje że przelewy poszły. Wierzyć mi się nie chce dziś o 9 kolega wysłał mi z banku ING zwykły przelew i doszedł już po 15 a oni też mają z ING.