Вирусный плагин background-image-cropper (Вордпресс) и файл accesson.php Помогите избавиться

Вирусный плагин background-image-cropper (Вордпресс) и файл accesson.php Помогите избавиться, Вирусный плагин background-image-cropper и файл accesson.php Как избавиться?

WGN

Сообщений: 9887 Регистрация: Июн 2015

5 Апреля 2020 22:14

Приветствую участников форума и прошу помощи. Наверняка кто-то с этим сталкивался и как вы решили проблему? Явно кто-то пытается взломать сайт. Хостинг прислал вот это:
Подозрительная активность
На Вашем сайте сайт.ру была обнаружена подозрительная активность.
Вам требуется принять меры по проверке сайтов на уязвимости и усиления мер безопасности.
Список файлов, которые попали под блокировку:

/home/s/s......../сайт.ру/public_html/wp-content/themes/jarida/404.php

/home/s/s........./сайт.ру/public_html/wp-content/themes/jarida/accesson.php
/home/s/s........./сайт.ру/public_html/wp-content/uploads/2020/04/accesson.php
Распространяет эту заразу плагин background-image-cropper. Причем после удаления снова появляется через какое-то время-обычно на следующий день на сайте сам по себе и снова распространяет эти файлы!!!
Пароли менял везде. Установил плагины безопасности. Но это проблему не решает. Смена шаблона темы тоже.
Может кто уже сталкивался с такой проблемой?
Как решили?
Где копать? В интернете не нашел ничего путного.

✔(НЕЙРОСЕТЬ) Качественные живые посетители на ваш сайт, блог, канал — Бесплатно!!!

♛ЛУЧШИЙ ПРОВЕРЕННЫЙ и САМЫЙ НЕДОРОГОЙ ХОСТИНГ: АКЦИИ!

Сергей Храбров

Сообщений: 497 Регистрация: Мар 2016

6 Апреля 2020 09:31

Вручную чистить базу. Удалить всё, что касается этого плагина.

WGN

Сообщений: 9887 Регистрация: Июн 2015

6 Апреля 2020 10:24

Пробовал но появляется снова, голову уже сломал. Поэтому возможно надеюсь что появятся те кто с этим сталкивался. Мне вообще интересно почему он есть даже для скачивания в Вордпресс оф. сайта.

Сергей Храбров

Сообщений: 497 Регистрация: Мар 2016

6 Апреля 2020 10:36

Цитата
WGN пишет: Пробовал но появляется снова, голову уже сломал. Поэтому возможно надеюсь что появятся те кто с этим сталкивался. Мне вообще интересно почему он есть даже для скачивания в Вордпресс оф. сайта.

Тогда попробуйте поставть плагн - Wordfence Security.
Там есть сканер, который покажет все инфицированные файлы. Думаю, что хостер не видит большинство из них.

Alex

Сообщений: 659 Регистрация: Июл 2010

6 Апреля 2020 10:53

Откройте по ftp сайт и сравните с чистым ВП. Если проблема опять появляется после удаления, значит в wp-content или wp-include есть вредоносный файл. Возможно это будет целый каталог. Просто скачайте последний дистрибютив вордпресса и сравните, что у Вас и что в архиве. Подозрительные папки сохраняйте сначала на ПК, а потом удаляйте, чтобы ничего лишнего не натворить.

все будет...

Александр

Сообщений: 230 Регистрация: Авг 2012

6 Апреля 2020 12:00

Подобная шляпа была с движком Joomla в 2013, тогда была эпидемия своего рода у всех. Устанавливаешь плагин или компонент заразный и он помещал файл-маркер, который заражал все скрипты. Скрипты чистишь от грязи, через час снова та же проблема.
Решалось просто, нужно было найти этот файл и просто удалить его. Как правило, такой маркер лежал в папках, куда редко заглядываешь, даже в папке images находил его. Такие файлы были со странным именем, по типу hgsdfhsd.php.
Я искал его через Total Commander по ключевому слову "Base64".
Но это у Joomla, с Вордпресс вовсе не знаком, но может копнете в эту сторону, вдруг поможет.

Охотникам пригодится

WGN

Сообщений: 9887 Регистрация: Июн 2015

6 Апреля 2020 12:22

Цитата
Сергей Храбров пишет: Тогда попробуйте поставть плагн - Wordfence Security

Этот я удалил он не помог и установил 2 других. Сделал пока бекап сайта. Но это не решает проблему нужно искать решение!

FoxCloud

Сообщений: 274 Регистрация: Ноя 2016

7 Апреля 2020 14:58

По ссылке есть рекомендации, что делать в случае взлома сайта: https://ru.foxcloud.net/kb/otvety-na-voprosy-polzovatelej/chto-delat-v-sluchae-vzloma-sajta.php

Кроме этого, можете сменить пароль на хостинг и не сохранять пароль ни в каких программах типа TotalCommander, FileZilla.Возможно, вирус ворует пароль из этих программ и заливает свои файлы к Вам на хостинг.
Еще, как вариант, у злоумышленника есть доступ к вашей почте, куда приходит новый пароль.

Изменено: FoxCloud - 7 Апреля 2020 15:16

Хостинг, Облачные серверы, выделенные серверы и многое другое https://foxcloud.net

fortnoxby

Сообщений: 390 Регистрация: Авг 2012

7 Апреля 2020 19:40

А по логам нельзя посмотреть активность файлов по сайту?
Если сами не справитесь, то проще заплатить 500р на кворке. Там есть хорошие дельцы с кучей положительных отзывов

WGN

Сообщений: 9887 Регистрация: Июн 2015

#10

8 Апреля 2020 18:46

Цитата
fortnoxby пишет: Если сами не справитесь, то проще заплатить 500р на кворке

Заплатить всегда успеется пока в поисках. Странно неужели такая беда у меня одного была?

palladin_d

Сообщений: 43 Регистрация: Янв 2012

#11

9 Апреля 2020 01:54

WGN, в интернете большинство копипаст, потому и не находится ничего путнего, да и многие вебмастера порадуются, что у конкурента что-то не выходит. Сам когда-то остался один на один с проблемой, даже на форуме гугла типа "золотые гуру" написали - "кто первый, того и тапки".
У Вас просто в каком-то файле прописан код, потому при его подгрузке цмской он прописывается куда можно.
Попробуйте глянуть в файлы, расположенные в корне сайта, например, в wp-blog-header.php и прочих. Иногда в оригинале файла 30 строк кода, а вирусняк добавляет 1000 пустых строк, и только потом идет вирусная вставка. Получается что беглым взглядом ничего не изменилось, а там бяка.
Еще хорошая прога по выявлению вирусов Ai.Bolit. Правда я пользовался онлайн сканнером, который они сейчас отключили, но можно поставить их код.
Бывают и случаи заражения плагина кеширования. И такое у меня было несколько лет назад, тогда я отключал плагины, по новой их загружал с вордпрессовского официала.

flynstr

Сообщений: 211 Регистрация: Июн 2014

#12

23 Апреля 2020 09:04

Тут в любом случае, не будет волшебной кнопки вылечить, надо уметь разбираться и понимать код, также работать с отчетом на примере того-же сканера Wordfence Security. Помимо всего этого, зараженные файлы могут быть и выше каталогом папки с CMS, и работать по крону. Также если у вас не один сайт в вашем вэб окружение на хостинге, то зараза может идти и с соседних сайтов.

Лечение сайта / сайтов с вирусами

Мониторинг обменных пунктов WebMoney по выгодным условиям

WGN

Сообщений: 9887 Регистрация: Июн 2015

#13

29 Сентября 2022 13:15

Подниму тему. Долго этот плагин не появлялся и вот опять спустя год или более снова. Напомню плагин вирусный. Может нашел кто решение. Или возможно есть какой-то дополнительный плагин который запрещает установку определенного конкретного плагина т.е. запрет в данном случае этого плаиина? Или в ЧС как-то поместить через плагины защиты?

Изменено: WGN - 29 Сентября 2022 13:19

Syed Faras

Сообщений: 1 Регистрация: Окт 2022

#14

25 Октября 2022 16:39

You must check website code because there is a problem in your Header side

Eye

Сообщений: 21831 Регистрация: Май 2011

#15

25 Октября 2022 17:47

Цитата
WGN пишет: плагин который запрещает установку определенного конкретного плагина

Ну это что-то совсем маразматическое... А по теме: плагин-то по-любому с открытым исходником, сами поковыряйте, если умеете, либо обратитесь к кодеру, чтобы поковырял и дырку просто убрал, благо там особо мозгов не надо, самый дешёвый кодер-школьник может справиться.

Мы не можем похвастаться мудростью глаз
И умелыми жестами рук,
Нам не нужно все это, чтобы друг друга понять.
Сигареты в руках, чай на столе - так замыкается круг,
И вдруг нам становится страшно что-то менять.

Похожие темы:

15.12.2012 22:09	Плагин antispam bee
31.07.2012 20:51	Установил на сайт плагин AntiVirus

Читают тему (гостей: 1, пользователей: 0, из них скрытых: 0)

Новые темы	Объявления	Свободное общение
12:53 где много готовых фавиконок 07:52 Роскомнадзор отказал в регистрации трети блогеров-десятитысячников 07:51 Как правильно покупать ссылки для поддомена? 22:59 Webvork - международная товарная СРА сеть с сертифицированными офферами на Европу. 12:32 «Хлебные крошки» в адресе сайтов исчезнут из результатов поиска Google 23:27 Adfinity - Ваш надежный партнер в монетизации трафика 16:55 Инструменты для массового постинга в WordPress	11:07 Мобильные и Резидентные Прокси Для Соц Сетей \| 3 Гб Бесплатно 11:01 Защитим твой ресурс от блокировки Роскомнадзора 10:09 BestChange – обменивать электронную валюту можно быстро и выгодно 06:50 Просто $0.04/IP 9PROXY.COM Резидентные прокси Неограниченная пропускная способность Уникальная политика замены Без чёрного списка 03:42 A-Parser 1.1 - продвинутый парсер поисковых систем, Suggest, PR, DMOZ, Whois, etc 22:23 BestX24 - быстрый и безопасный обменник криптовалют и электронных денежных средств 21:54 Приватные мобильные прокси Украины безлимиты 4g UA Водафон Киевстар Лайф	07:48 США готовят закон для уничтожения пиратских сайтов во всех странах мира 02:50 Точные прогнозы на футбол 02:10 [Новая партнерка] Goldbet Partners — прямой рекламодатель одноименного казино Goldbet 21:19 С юмором по жизни! 18:15 Telegram уничтожил официальный канал легендарного российского торрент-трекера 18:19 Уникальный сервис SEO продвижения 14:45 (затёр сайт)