Sitem hacklendi. Daha önce başına gelen oldu mu?

17-04-2020, 04:30:40

Selamlar öncelikle,
Konuyu bu kategoriye açtım çünkü hacklenen sitem Pinterest'te PintoPin yapan bir sistem idi. Bu olay 3 gün önce oldu. VPS'te 70 kadar site ve bir de bunların yönlendiği ana site vardı. Ana sitenin db'sini ve dosyalarını silmişler ve geri alabilmem için yaklaşık 2500 liralık btc istiyorlar. Diğer 70 siteyi silmemişler ancak anasayfaya yönlenmesini engellemek için .htaccess dosyaslarını değiştirmişler. (Aşağıdaki alıntıdaki yazıyı anasayfaya index atmışlar). Vestanın otomatik aldığı yedekle ana sitenin dosyalarını ve db'sini geri alabildim ancak index.php dosyasını silmeme rağmen tekrar tekrar oluşuyor ve siteye erişim sağlatmıyor. Php kodlara biraz baktım ancak şifrelenmiş sanırım. Daha önce başına gelen veya ne yapmam gerektiği hakkında yönlendirebilecek hocalarım yorumlarını esirgemezse çok sevinirim. İyi günler...

Alıntı

"To recover your lost Database and avoid leaking it and fixing your website vulnerabilities: Send us 0.051 Bitcoin (BTC) to our Bitcoin address 1QHHNtKYnKmknoBb5owJgjw6aqjrCMprR4 and contact us by Email with your Server IP or Domain name and a Proof of Payment. If you are unsure if we have your data, contact us and we will send you a proof. Your Database is downloaded and backed up on our servers. Backups that we have right now: admin_yav.sql . If we dont receive your payment in the next 10 Days, we will make your database public or use them otherwise. - Bitcoin_address: 1QHHNtKYnKmknoBb5owJgjw6aqjrCMprR4 - email to contact the hacker: localdefacer@outlook.com ( you can buy bitcoin from https://localbitcoins.com/ ) "

17-04-2020, 04:34:53

#2

ejder024

Ftp den bakın değişik bir dosya varmı. Büyük ihtimal yönlendirme sayfası kodu benzeri birşeyler vardır.Birden fazla da olabilir.

17-04-2020, 04:34:55

#3

GiRGiN

Vestacp mirror sunucuları hacklenip duruyor dışarıdan sızmış olabilirler.
https://www.google.com/search?client...vestacp+hacked

17-04-2020, 04:40:00

#4

BERKANK4YA

Şifrelenmiş php dosyasını atın özelden decode yapalım

17-04-2020, 04:46:26

#5

Shakumakavelli

ejder024 adlı üyeden alıntı: mesajı görüntüle

Ftp den bakın değişik bir dosya varmı. Büyük ihtimal yönlendirme sayfası kodu benzeri birşeyler vardır.Birden fazla da olabilir.

Gözüme çarpanları sildim ancak yine de index.php'yi tekrar oluşturan bir dosya var sanırım..

GiRGiN adlı üyeden alıntı: mesajı görüntüle

Vestacp mirror sunucuları hacklenip duruyor dışarıdan sızmış olabilirler.
https://www.google.com/search?client...vestacp+hacked

Evet hocam kullandığım panel Vesta. Ya panelden ya da şu iki eklentiden şüphelenmiştim ben de: "New adman ve Wp Full Auto Tag Manager". Çünkü kontrol ettiğimde bu iki eklentide dosyaların değiştirme tarihi, hacklenen gün olarak değişmiş görünüyordu.

17-04-2020, 05:25:14

#6

Zartnet

https://www.exploit-db.com/exploits/48294

17-04-2020, 06:35:05

#7

nettacompany

Shakumakavelli adlı üyeden alıntı: mesajı görüntüle

Selamlar öncelikle,
Konuyu bu kategoriye açtım çünkü hacklenen sitem Pinterest'te PintoPin yapan bir sistem idi. Bu olay 3 gün önce oldu. VPS'te 70 kadar site ve bir de bunların yönlendiği ana site vardı. Ana sitenin db'sini ve dosyalarını silmişler ve geri alabilmem için yaklaşık 2500 liralık btc istiyorlar. Diğer 70 siteyi silmemişler ancak anasayfaya yönlenmesini engellemek için .htaccess dosyaslarını değiştirmişler. (Aşağıdaki alıntıdaki yazıyı anasayfaya index atmışlar). Vestanın otomatik aldığı yedekle ana sitenin dosyalarını ve db'sini geri alabildim ancak index.php dosyasını silmeme rağmen tekrar tekrar oluşuyor ve siteye erişim sağlatmıyor. Php kodlara biraz baktım ancak şifrelenmiş sanırım. Daha önce başına gelen veya ne yapmam gerektiği hakkında yönlendirebilecek hocalarım yorumlarını esirgemezse çok sevinirim. İyi günler...

Merhaba.

Siteleriniz Wordpress ise Pleskte taşıyıp güvenlik optimizasyonu yapmanızı tavsiye ederiz ücretli destek düşünürseniz tarafımıza ulaşınız aynı durum ile karşılaşan müşterimiz için çalışma ypatık aksi halde kurtaramazsınız.

Saygılarımızla.

17-04-2020, 07:32:52

#8

~~JimmyBey~~

Üyeliği durduruldu

Geçmiş olsun hocam

17-04-2020, 16:03:32

#9

Shakumakavelli

Zartnet adlı üyeden alıntı: mesajı görüntüle

https://www.exploit-db.com/exploits/48294

Bu tam olarak nedir, Vesta'nın açığı falan mı?

nettacompany adlı üyeden alıntı: mesajı görüntüle

Merhaba.

Siteleriniz Wordpress ise Pleskte taşıyıp güvenlik optimizasyonu yapmanızı tavsiye ederiz ücretli destek düşünürseniz tarafımıza ulaşınız aynı durum ile karşılaşan müşterimiz için çalışma ypatık aksi halde kurtaramazsınız.

Saygılarımızla.

Öm atıyorum..

JimmyBey adlı üyeden alıntı: mesajı görüntüle

Geçmiş olsun hocam

Sağ olun hocam, teşekkürler..