Site temizliği lazım

Merhaba sunucuda birden fazla site var Nisa 28 gibi siteler hacklendi sonra tüm siteler temizlenip şifreler değişti eklentiler silindi wp admin ikincil kullanıcılar dahil silindi sunucu değişildi halen sitelere dosya yüklenmeye devam ediyor. Bugün sunucuya yeni bir site ekledim temiz o bile hemen hacklendi dosyalar yüklendi. Sorunun kaynağı tam olarak ne olabilir yardımcı olabilecek var mı? Aynı firmada 4 den fazla sunucu var diğer sunucularda bir problem olmadı sadece bu sunucudaki siteler zarar gördü. Sunucuyu değişmeme rağmen sorun halen devam ediyor.

merhaba muhtlemen bılgısayarınızdan vurıs yemıssınız genelde sunucu uzerınden bılgısyara vurıs bulastırabılıyrlar muhtemelen olasılık cunku her yaptgınız kısıye ulasır bence sunucuda deıl bılgısyarınıza bır bakın derım

Çözelim
https://www.r10.net/wordpress-seo-gu...emium-waf.html

Merhabalar,


Dosyalarınıza zararlı shell/backdoor dosyaları yerleştirilmiş görünüyor. Özellikle temizlenen sitelerin ve yeni kurulan web sitelerinin kısa süre içerisinde tekrar etkilenmesi, sistem üzerinde aktif bir erişim veya kalıcı zararlı bulunduğunu düşündürmektedir.
Bu tür durumlarda yalnızca site dosyalarının temizlenmesi yeterli olmayabilir. Sunucu genelinde detaylı güvenlik taraması yapılmasını tavsiye ederiz.
Önerilerimiz:

• Tüm hosting paneli, FTP, SSH ve veritabanı şifrelerinin yeniden değiştirilmesi
• Sunucu üzerindeki cron job, kullanıcı dizinleri ve yetkisiz servislerin kontrol edilmesi
• Yerel bilgisayarlarda zararlı yazılım taraması yapılması
• Null/lisanssız tema ve eklentilerin tamamen kaldırılması
• Tüm sitelerin temiz yedeklerden yeniden yapılandırılması
• Güvenlik duvarı ve WAF yapılandırmalarının aktif edilmesi

Ek olarak sunucunuza Imunify360 kurulmasını tavsiye ederiz. Imunify360; shell, malware, backdoor ve zararlı upload girişimlerini tespit edip otomatik olarak engelleyebilen gelişmiş bir sunucu güvenlik çözümüdür. Özellikle çoklu hosting ortamlarında bu tarz saldırılara karşı oldukça etkili koruma sağlamaktadır.
Gerekli kontroller sağlandıktan sonra sunucunun detaylı log analizi ile incelenmesi faydalı olacaktır.
İyi çalışmalar dileriz.

Son dönemde bazı sunucularda kullanıcı giriş dizinlerindeki .bashrc dosyalarına base64 ile gizlenmiş komutlar eklendiği ve oturum açıldığında otomatik olarak çalıştırılmaya çalışıldığı görülmüştür

İncelediğim bir örnekte script dış kaynaktan bincrypter ve gs-netcat/gsocket benzeri dosyalar indirerek şifreli şekilde çalıştırmayı ardından bazı izleri temizlemeyi hedeflemektedi erişim/arka kapı amacı taşıyor

Bu nedenle tüm hesaplarda özellikle aşağıdaki kontrollerin yapılmasını öneriyoruz:

WHM
/home/*/.bashrc
/home/*/.bash_profile
/home/*/.profile

PLESK
/var/www/vhosts/*
/home/*/.bashrc
/home/*/.bash_profile
/home/*/.profile

base64 içeren şüpheli komutlar
php-bin, bincrypter, gs-netcat, gsocket benzeri çalıştırılabilir dosyalar
arka planda çalışan bilinmeyen process’ler

https://github.com/hackerschoice/gsocket kullanılan yapı bu ve kötü amaçla kullanıyorlar sunucu aldıgınız yerle ileşime geçin incelesinler

Merhabalar. Çözelim iletişime geçerseniz.

Cevaplarınız için teşekkür ederim yalnız tüm şifreler değişti eklentiler silindi FTP SSH whm sql dosyaları dahil hepsinin şifreleri yenilendi lakin sorun devam ediyor. Bugün de 505php dosyaları eklenmiş tüm sitelere.

Merhaba,
Destek talebiniz hala devam ediyorsa, projeniz üzerinde profesyonel şekilde destek sağlayabiliriz. XipSoft olarak web, mobil ve özel yazılım süreçlerinizde temiz, sürdürülebilir ve performans odaklı çözümler üretiyoruz.

İşçiliğimiz hakkında fikir edinmeniz ve referans olması adına sitemizi inceleyebilirsiniz.
www.xipsoft.net

İyi çalışmalar dileriz.