Plesk Sunucuda Hack ile Yönlendirme

Merhabalar,

1 ay önce bir olay yaşadık wordpress sitemize girdiğimde illegal bir bahis sitesine yönleniyordu.

Sitemiz özel plesk sunucuda 1 domain + buna bağlı 2 subdomain olarak çalışıyor. Subdomainin birinde wordpress diğerinde PHP özel script çalışıyor.

Plesk imunify 5-6 tane virüs algılamıştı. Algıladığı dosyaları ve kod parçalarını temizledik. Yönlendirmeler kalktı ancak nereden nasıl yaptıklarını anlayamadık. Wordpresslerde güncellenmemiş bir kaç eklentiyi güncelledik ve yola devam ettik.

İlginç olarak Perşembe günü subdomainde çalışan PHP scriptte sadece index.php de site yine illegal bahis sitesine yönleniyordu. İlginç ki bu sefer imunify de virüs olarak görmedi. İndex.php'de 9-10 satırlık saçma sapan bir kod bütünü bulduk en üst kısımda ve kaldırdık. Kod bütününde "wp" ve "wpd" kelimeleri çok geçiyordu. Ana domain ya da diğer subdomaine bağlı wordpresslerden sızmış olduklarını düşünüyoruz.

Sonuç olarak sunucuya nereden ve nasıl girdiklerini görüp açığı kapatmak istiyoruz.
Bunun yanında ayrıca tüm güvenlik önlemlerinin alınmasını istiyoruz.

Ek olarak; Sitemiz çok trafik alan ve dikkat çeken bir site, audit üzerinden kontrol ettiğimizde 100 binlerce kez root şifre denemesi yapılmış ve yapılmaya devam ediyor.

Bu açığı bulup kapatmak ve sonrası için tüm güvenlik önlemlerini almak istiyoruz.

Bu konuda yardımcı olacak birini arıyorum. Tüm logları inceleme çalıştık ancak elle tutulur bir şey bulamadık.

Sadece anydesk vb. uzaktan bağlantı programları üzerinden yardım alabilirim.

Merhabalar,

İletişime geçiyorum.

Bu hacklink işi öyle berbat bişey ki emin olmak için neredeyse tüm dosyaların incelenmesi lazım.

@MrProxima; bu konuda hızlı destek ve uygun fiyattan yardımcı olabilirim. İmzamdaki whatsapp'tan iletişime geçebilirsiniz.

kodlardaki açıkları araştırabilir, plesk için fail2ban aktive edebilirsiniz.