Dedicated Lunix sunucuda bulunan bütün sitelerim hackleniyor

Konu günceldir, hala sitelerimizi facebook oto-like kodu ekleyip, kendi adsense kodlarını yerleştiriyor.
Hosting firması ısrarla sunucu üzerinde bir açık olmadığını, sitelerle ilgili bir sıkıntı olduğunu söylüyor.
Çok kişiyle görüştüm ancak hala bir çözüm bulamadım.

hostmavi.com yüksel abi var orda genelde akşamalrı online oluyor kendisi yanlıım yoksa almanyada yaşıyor diye hatırlıyorum. bide onunla irtibat kurbakalım. msn adreside : destek@HOSTmavi.com

akıllı adsense eklentisi kullanıyorum, admin panele giriş yapmadan adsense kodlarını değiştirmesi mümkün değil,
bunun yanında eklentide açık olsa, yine sadece admin panelden yapılacak bileşenleri de ekleyip kaldırıyor.
Dahası header,footer.php ye oto like kodları vs... koyuyor.
Yapmadığım denemediğim yöntem kalmadı, kurtulamadım.
Daha önce muhakkak benzer bir şey başına gelmiş olan vardır, yardım bekliyorum.

hala yardima ihtiyacin var mi? cozebildin mi bu sorunu?

Sorunum hala güncel,
Bir siteye shell atıyor, nereden attığını hala anlayamadım, zira bugün bulduğum shell dün sıfırdan kurduğum bir siteye atılmış. Chmodlar default wordpress ayarları, herhangi bir gariplik de yok. Daha sonrasında maldet'le bu shell'ide siliyorum.
Ancak hesaplar arasında geçiş yapılamaması lazım safe mode on, php version 5.3 ve litespeed var, atmış olduğu shell'i kendim denedim hesaplar arasında geçiş yapamadım.
Ancak buna rağmen hala adsense kodlarını değiştiriyor, header.php'ye oto like kodu ekliyor.

çöze bildinizmi? perl kapamayı denedinizmi? çözemediyseniz ilgilene bilirim.

Yukarıdaki şekilde bir cümle kurduysanız ihtimaller aşağıdaki şekildedir,

- Bilgisayarınızda keylogger olabilir (Olmadığından neredeyse eminsiniz)
- Her zaman kullandığınız kurulum dosyalarında bir açık olabilir (Farklı kurulum dosyaları deneyebilirsiniz)
- Eğer yukarıda saydığım iki seçenektende eminseniz, malesef sunucunuzdaki hesaplarınız arası geçiş yapılabilmektedir.

Bu durumda,
Sunucunuza mod security kurup bulabileceğiniz en agresif kuralları eklemeyi deneyebilirsiniz. Sisteme düşecek loglarda en azından nereden sızma yapılmaya çalışıldığını görebilirsiniz. Düşük ihtimal ama işe yarayabilir.

Maldet kullanıyorsunuz, malesef her zararlı içeriği yakalayamıyor. Fakat,
maldet --monitor /home/
Yazarak maldeti monitor olarak çalıştırabilirsiniz. Ayrıca yapacağınız konfigurasyon değişikliği ile, askıya alma durumu belirleyebilirsiniz. Bu durumda sistemde zararlı içerik çalıştırıldığı anda ilgili hesap otomatik askıya alınıp yöneticiye mail gelecektir.

Ancak maldet tarafından tanınmayan zararlı dosyalarda bu yöntem işe yaramayacaktır.

Maldet'e alternatif olarak ücretli CXS denenebilir, ne kadar faydalı olacağı konusunda ise yine kesin birşey söylemek mümkün değil.

Gerekli PHP ve Mysql server konfigurasyonlarınızı yaptığınız halde yine hesaplar arası geçiş olduğunu düşünüyorsanız. Sistemde komut yasaklama yapabilirsiniz. Bazı fonksiyonların çalışmasını engelleyebilir fakat komut yazılabilirlik izinleri güvenlik açısından oldukça etkilidir. cat, ln, dir, perl komutları ile ilgili çalışma yapabilirsiniz.

Sitelerinizde tarama programlarına yakalanmayan basit upload scriptleri olabilir. Bu gibi durumlarda saldırgan zararlı dosyasını upload eder, işlemini gerçekleştirir ve gerideki izleri silmeye çalışır. Genellikle tema, image, plugin gibi klasörlerden yükleme yaparlar.

Tüm bunları yaptınız ancak yine hesaplar arası geçişten şüpheleniyorsanız. Cloudlinux kurmayı deneyebilirsiniz. Ek güvenlik fonksiyonlarını aktif ettikten sonra 15 gün içinde hesaplar arası geçiş olup olmadığını test edebilirsiniz.

Yukarıdakilarin hiçbiri çare olmazsa,
Forumdan, Elazığlı, Victories, cryptosam ile irtibata geçebilirsiniz.

Eğer yine çözüm üretilemezse, rootlanma veya farkedilmeyen bir backconnect için, yeni sunucu kurulumu yaptırıp hesaplarınızı taşıyabilirsiniz.

Tüm bunlarıda yaptınız yine devam ediyorsa, yurt dışındaki Managed destek sağlayan güvenlik firmaları ile iletişime geçebilirsiniz.