Merhaba sunucuda birden fazla site var Nisa 28 gibi siteler hacklendi sonra tüm siteler temizlenip şifreler değişti eklentiler silindi wp admin ikincil kullanıcılar dahil silindi sunucu değişildi halen sitelere dosya yüklenmeye devam ediyor. Bugün sunucuya yeni bir site ekledim temiz o bile hemen hacklendi dosyalar yüklendi. Sorunun kaynağı tam olarak ne olabilir yardımcı olabilecek var mı? Aynı firmada 4 den fazla sunucu var diğer sunucularda bir problem olmadı sadece bu sunucudaki siteler zarar gördü. Sunucuyu değişmeme rağmen sorun halen devam ediyor.
Son dönemde bazı sunucularda kullanıcı giriş dizinlerindeki .bashrc dosyalarına base64 ile gizlenmiş komutlar eklendiği ve oturum açıldığında otomatik olarak çalıştırılmaya çalışıldığı görülmüştür
İncelediğim bir örnekte script dış kaynaktan bincrypter ve gs-netcat/gsocket benzeri dosyalar indirerek şifreli şekilde çalıştırmayı ardından bazı izleri temizlemeyi hedeflemektedi erişim/arka kapı amacı taşıyor
Bu nedenle tüm hesaplarda özellikle aşağıdaki kontrollerin yapılmasını öneriyoruz:
WHM
/home/*/.bashrc
/home/*/.bash_profile
/home/*/.profile
PLESK
/var/www/vhosts/*
/home/*/.bashrc
/home/*/.bash_profile
/home/*/.profile
base64 içeren şüpheli komutlar
php-bin, bincrypter, gs-netcat, gsocket benzeri çalıştırılabilir dosyalar
arka planda çalışan bilinmeyen processler
https://github.com/hackerschoice/gsocket kullanılan yapı bu ve kötü amaçla kullanıyorlar sunucu aldıgınız yerle ileşime geçin incelesinler