Onderwerp: Malware op meerdere accounts (web0154 / web0128): webshells, trucdeur in index.php en .htaccess-slot – herkent iemand dit?

Hallo allemaal,

Op 23 oktober ging een van onze WordPress-sites plat met een HTTP 500-fout. Bij onderzoek bleken twee van onze hostingaccounts, op server web0154 en web0128, besmet te zijn met malware. In het ene account al sinds begin oktober, in het andere vermoedelijk al veel langer. Alles is inmiddels opgeschoond alleen kan ik geen ticket registreren bij Vimexx (alleen maar voorgedefineerde issues), vandaar via dit kanaal.

Ik deel de kenmerken, zodat je zelf kunt controleren of jouw sites ook geraakt zijn:

• - In index.php een extra regel met new class('compress.zlib://' ...) en een vreemd geschreven iNCLuDe_OncE.

• - Een nep-CSS-bestand in wp-admin/css/colors/ocean/ (bij ons colors-vendor-rtl.min.css). Dat is ingepakte PHP die code ophaalt van 69.30.199.165.

• - Bestanden als ljgisovlvujxtrlotanwCfm.php, zsune1.php, massmipn.php, wp-l0gin.php, massmcm.php, jp.php of ext.php in de hoofdmap of in wp-admin/maint/.

• - Een verborgen map .19137ba78cb3074221792c425ade11c0system/ in .well-known, maar ook buiten je websites, in de hoofdmap van je account.

• - Een .htaccess (in de hoofdmap en in honderden submappen) met <FilesMatch "\.(py|exe|php)$"> Deny from all, gevolgd door een lijst met alleen bovenstaande bestandsnamen die wél mogen.

• - Een mu-plugin (bij ons hostinger-cache.php in wp-content/mu-plugins/) die index.php binnen een paar seconden opnieuw besmet als je hem opschoont.

• - Een robots.txt met sitemap-1.xml t/m sitemap-19.xml (SEO-spam).

Let op: omdat alle domeinen in één account onder dezelfde gebruiker draaien, verspreidt dit zich over al je domeinen in dat account. Kijk dus niet alleen naar de site die problemen geeft. Ruim ook de mu-plugin op, anders komt het binnen seconden terug, en vervang al je wachtwoorden (DirectAdmin, FTP, database, WordPress).

Herkent iemand dit, of is iemand anders op web0154 of web0128 ook getroffen?

Hoor het graag en een prettig weekend ;)

Hallo allemaal,

Op 23 oktober ging een van onze WordPress-sites plat met een HTTP 500-fout. Bij onderzoek bleken twee van onze hostingaccounts, op server web0154 en web0128, besmet te zijn met malware. In het ene account al sinds begin oktober, in het andere vermoedelijk al veel langer. Alles is inmiddels opgeschoond alleen kan ik geen ticket registreren bij Vimexx (alleen maar voorgedefineerde issues), vandaar via dit kanaal.

Ik deel de kenmerken, zodat je zelf kunt controleren of jouw sites ook geraakt zijn:

• - In index.php een extra regel met new class('compress.zlib://' ...) en een vreemd geschreven iNCLuDe_OncE.

• - Een nep-CSS-bestand in wp-admin/css/colors/ocean/ (bij ons colors-vendor-rtl.min.css). Dat is ingepakte PHP die code ophaalt van 69.30.199.165.

• - Bestanden als ljgisovlvujxtrlotanwCfm.php, zsune1.php, massmipn.php, wp-l0gin.php, massmcm.php, jp.php of ext.php in de hoofdmap of in wp-admin/maint/.

• - Een verborgen map .19137ba78cb3074221792c425ade11c0system/ in .well-known, maar ook buiten je websites, in de hoofdmap van je account.

• - Een .htaccess (in de hoofdmap en in honderden submappen) met <FilesMatch "\.(py|exe|php)$"> Deny from all, gevolgd door een lijst met alleen bovenstaande bestandsnamen die wél mogen.

• - Een mu-plugin (bij ons hostinger-cache.php in wp-content/mu-plugins/) die index.php binnen een paar seconden opnieuw besmet als je hem opschoont.

• - Een robots.txt met sitemap-1.xml t/m sitemap-19.xml (SEO-spam).

Let op: omdat alle domeinen in één account onder dezelfde gebruiker draaien, verspreidt dit zich over al je domeinen in dat account. Kijk dus niet alleen naar de site die problemen geeft. Ruim ook de mu-plugin op, anders komt het binnen seconden terug, en vervang al je wachtwoorden (DirectAdmin, FTP, database, WordPress).

Herkent iemand dit, of is iemand anders op web0154 of web0128 ook getroffen?

Hoor het graag en een prettig weekend ;)

Hoi,
Ik draai mijn sites op Joomla, maar ook ik constateer sinds juni op server 156 dat er in elke folder een .htaccess bestand geplaatst is en dat er (ondanks Joomla) een wordpress mapje geplaatst is. Vaak nog meer mapjes. Speciaal in de email/login folders om spam te kunnen versturen.
Er staan soms tekstbestandjes op met als inhoud: You are hacked. Heel creepy.
Ik draai zo mogelijk de laatste versies.
Ik heb alleen het idee dat Vimexx aan de serverkant daar niet zo kien op is; de laatste versies draaien. Bijvoorbeeld een MariaDb die al end of life is.
een ticket aanmaken zal wel geen zin hebben. De meeste supportmedewerkers wijzen toch naar jou als zijnde nalatig met onderhoud etcetera.
Ik check nu wekelijks 8 domeinen. Haal ze desnoods even binnen met ftp, verwijder alle meuk en plaats het weer terug. Zou niet moeten eigenlijk, maar het is ff niet anders.