WordPress Virüs Sorunu

Question

Merhaba arkadaşlar. Herhangi bir war.ez tema veya eklenti kullanmamış olmama rağmen virüs taramasında bir tuhaflık var. iPad kullandığım için bilgisayardan bulaşma ihtimalide olamaz ama bunlara rağmen nasıl bulaştı anlamadım.

Tarama sonucunu ekran görüntüsü olarak paylaşıyorum.

Belirttiği dosyaları komple kaldırdım yeni wordpress dosyaları kurdum ama hala aynı sonuçlar var taramada. Nasıl çözümleyebilirim acaba?

ahmetyerli · Answer

Nookta adlı üyeden alıntı:						mesajı görüntüle									sql yi kontrol ettin mi 		SQL'yi komple sildim hosting bile sıfırlandı ve tekrar yeniden açtım hosting'i temiz kurulumu öyle yaptım hocam eski SQL'yi kullanmadım yenisinde.

ahmetyerli · Answer

Ufuk Gedik adlı üyeden alıntı:						mesajı görüntüle									Sunucuların tamamında cagefs kafesleme sistemi ve periyodik olarak güncel güvenlik açıklarına karşı alınan önlemler var. Dilerseniz hizmetinizin bulunduğu sunucuda size başka bir hosting açalım, istediğiniz shell/listpath dosyası atın ve kendi hostinginize geçmeyi deneyin. Eğer başarabilirseniz, Allah uzun ömürler versin hayatta olduğunuz süre boyunca tüm hosting/alan adı masraflarınızı bizzat karşılarım.

Kısa bir araştırma yapılsa zxcvbn dosyalarının wc-password-strength-meter ile bağlantısı olduğunu, yani Wordpress kullanıcı eklerken yada üye olurkan parolayı yazdığınızda parolanızın ne kadar güçlü olup olmadığını size gösteren javascript dosyası olduğu görülebilir. Google arama cubuguna "zxcvbn.min.js wordpress" yazılması yeterlidir.

Wordpress sistemlerde zararlı dosya durumu; kaynağı belirsiz ücretsiz tema/eklenti kullanımı, vvarez tema/eklenti kullanımı, Wordpress çekirdeğini ve buna bağlı tema/eklentilerin zamanında güncellenmemesi gibi sebeplerden kaynaklanabilir. Tarama yaptığınız wordpress eklentisi anti-malware adında bir eklenti.Potansiyel tehdit olarak javascript dosyalarını ve bir adet php dosyasını gösteriyor. Bence bu dosyaları açıp editörde kontrol etmediniz. Zararlı dosyalar olduğunu düşünmüyorum, eklenti boşu boşuna sizi tedirgin etmiş. Şahsi fikrimdir. Yeri geliyor günde onlarca bu durumla karsılasıyoruz. Gerçekten zararlı dosya olan Wordpress'lerden bu seçeneklerden birinden kaynaklanıyor, bu tecrübeyle sabittir. 		ÖNCELİKLE BELİRTMEK İSTERİM Kİ DOĞRUDAN SUÇU HOSTİNG ŞİRKETİNE YÜKLEYİP ELİMDE DELİL OLMADAN BİR FİRMANIN ADINI LEKELEMEK KESİNLİKLE İSTEMEM VE BUNU YAPMAM.

Belirtmiş olduğunuz gibi sorunun nedeni bir değil bir çok neden olabilir ancak iki gündür arama sonuçlarında şöyle bir tabloyla karşılaşıyorum;

Görmüş olduğunuz gibi sadece bir eklentiden kaynaklanan uyarıdan dolayı şüphelenmedim. Bu sonuçlarda rastgele random URL üretiyor ve bu sayfalara index atıp spama düşürmeye çalışıyor virüs. Hepsi aynı sayfaya çıkıyor sadece URL yapıları değişiyor.

Sizlere yaptığım işlemleri anlatayım;

WordPress son sürüm dosylalarını resmi sitesinde zip olarak indirdim. Kendim PC kullanıcısı değilim, tüm işlemlerimi iPad üzerinden yani iPadOS işletim sisteminde yapıyorum. Dolayısıyla virüs bulaşma ihtimali çok düşük. İmkansız diyemem ama sorun benden kaynaklanıyor olabilir.

Kullandığım tema Ofelia Travel WordPress teması. Bu temayı ThemeForest üzerinden 39 dolar karşılığında satın aldım, vvarez olmadığını hesap bilgilerimi vererek ispatlayabilirim. Ancak tema dosyaları içerisinde temaya ait bir adet eklentide mevcut. Belki tema sorunludur belki eklenti sorunludur burada yine siz suçlusunuz diyemem.

Kullandığım eklentiler; Litespeed Cache, Yoast SEO, Google Site Kit, Akismet ve temanın kendi eklentisi. Bu eklentilerin tamamı WordPress panelinde bulunan yeni eklenti yükle kısmından WordPress'in kendi eklenti havuzundan yüklendi, kesinlikle başka bir siteden indirip yükleme yapmadım.

Site üzerinde virüs taraması yapan tüm online platformlarda sonuçlar temiz çıkıyor ancak bu Malware eklentisi bu uyarıları verirken, arama sonuçları virüsün var olduğunu ispatlıyor. Ayrıca R10 Seo Analizi siteyi incelettiğimde zararlı dosya tespit ediyor.

Kesinlikle suçlu sizsiniz demiyorum, sorun %100 hosting kaynaklı demiyorum ve suçlamyorum kimseyi. Ancak mevcut durumda böyle bir sorunum var ve sorunun kaynağını tespit etmeye çalışıyorum. Sağ olsun ekip arkadaşların hosting hizmetini iki defa sıfırladı ve baştan kurulum yaptım. Sayfa ve içerikleri XML olarak yükledim, veritabanı yedeğini ve ftp yedeğini kesinlikle yüklemedim ancak sorun devam etti. Belki sorun XML dosyasıydı ve virüs oraya da sızmıştı yine sizi suçlayamam belki sorun tüm bu önlemlerime rağmen benden kaynaklanıyordur, belki veri merkezi sıkıntılıdır. Elimde ispat yok sorunun nedenini bulamıyorum, Turhost'dan yeni hosting alıp her şeyi baştan kurup deneyeceğim.

Bunun nedeni kesinlikle sizi suçlamam, hizmetinizi beğenmemem değil sadece çözümü bulmaya özen gösteriyorum. Firmanızın sorunlar karşısında ilgi ve alakasından memnundum, bir çok çalışma arkadaşınız her sorunuma yardımcı oldu, 1 ayda 20'den fazla destek talebi oluşturdum ve hepsine olumlu geri dönüş aldım. Bir kişi hariç(İyi niyetli olduğuna inanmıyorum ve sürekli destek taleplerimde onun olmaması için dua ediyorum) diğer tüm arkadaşlar sıcak kanlı çözüm odaklı yaklaştı tekrardan teşekkür ederim.

Google'da bu sonuçların çıkması normal değil, tek bildiğim şey bu. Tema dosyalarını incelemeye kalksam kodlardan anlamıyorum virüs ile normal kod ayrımı yapabilecek bilgiye sahip değilim. Bu konuda sizden yardım talebinde bulunduğumda bir webmaster ile görüşmemi ve yardım almam cevabını aldım bu nedenle burada konuyu açtım ve hosting şirketi sorulmadan kesinlikle söylemedim sorunun sizden kaynaklı olduğundan şüphelendim ama tekrar belirtiyorum emin değilim direk suçu size yükleyemem elimde ne virüsün ispatı ne sizin suçlu olduğunuza dair delil var. Bu nedenle iyi niyetinizi ve firmanızın kalitesini inkar edemem ve suçlayamam. Dediğim gibi sadece sorunun kaynağını bulmaya çalıştım ama başarılı olamadım.

Firmanıza istemeden de olsa suç atmış gibi olduysam, sizi suçlamış gibi olduysam ÇOK ÖZÜR DİLERİM!

İyi çalışmalar dilerim.

Ufuk Gedik · Answer

Misafir adlı üyeden alıntı:						mesajı görüntüle									Maalesef bende ondan şüpheleniyorum hocam, ThemeForest orijinal tema dosyasından bulaşma ihtimali yok, kullandığım eklentiler Yoast Seo Litespeed cache gibi bilindik eklentiler ve wordpress panelinden yükledim harici bir siteden indirip kurmadım.

İncludes dosyası içerisinde sürekli bunlar oluşuyor, içeriği komple yeni dosyalar ile temizlememe rağmen. 		
Sunucuların tamamında cagefs kafesleme sistemi ve periyodik olarak güncel güvenlik açıklarına karşı alınan önlemler var. Dilerseniz hizmetinizin bulunduğu sunucuda size başka bir hosting açalım, istediğiniz shell/listpath dosyası atın ve kendi hostinginize geçmeyi deneyin. Eğer başarabilirseniz, Allah uzun ömürler versin hayatta olduğunuz süre boyunca tüm hosting/alan adı masraflarınızı bizzat karşılarım.

Kısa bir araştırma yapılsa zxcvbn dosyalarının wc-password-strength-meter ile bağlantısı olduğunu, yani Wordpress kullanıcı eklerken yada üye olurkan parolayı yazdığınızda parolanızın ne kadar güçlü olup olmadığını size gösteren javascript dosyası olduğu görülebilir. Google arama cubuguna "zxcvbn.min.js wordpress" yazılması yeterlidir.

Wordpress sistemlerde zararlı dosya durumu; kaynağı belirsiz ücretsiz tema/eklenti kullanımı, vvarez tema/eklenti kullanımı, Wordpress çekirdeğini ve buna bağlı tema/eklentilerin zamanında güncellenmemesi gibi sebeplerden kaynaklanabilir. Tarama yaptığınız wordpress eklentisi anti-malware adında bir eklenti.Potansiyel tehdit olarak javascript dosyalarını ve bir adet php dosyasını gösteriyor. Bence bu dosyaları açıp editörde kontrol etmediniz. Zararlı dosyalar olduğunu düşünmüyorum, eklenti boşu boşuna sizi tedirgin etmiş. Şahsi fikrimdir. Yeri geliyor günde onlarca bu durumla karsılasıyoruz. Gerçekten zararlı dosya olan Wordpress'lerden bu seçeneklerden birinden kaynaklanıyor, bu tecrübeyle sabittir.

mertcangokgoz · Answer

Öneri yapmak için geldim ama, hosting kullandığınızı gördüğüm için maalesef önerilerimi yapamayacağım.  veridyen gerekli çalışmayı ve temizliği yapmalı.

Clouduck · Answer

Bence hosting firmasından değil, veri merkezinden kaynaklanıyor. Veri merkezine virüs girmiş, sunucular arasında atlamış durmuş lanet virus.

ahmetyerli · Answer

chnyrdkl adlı üyeden alıntı:						mesajı görüntüle									Hosting firması değişikliği bir işe yaramayacaktır. Yazılımsal bir sorun bu.
Geçmişte w.rez eklenti ya da tema kullandiysaniz Google tarafından İndex alınmıştır bu şekilde.
Dilerseniz virüsleri yarın temizleyebilirim.
Kullandığınız tema ve eklentiden eminseniz ilerleyen süreçlerde sorun yaşamazsınız.

Virüs temizlendikten sonra Google a sitemap yollarsınız ya da doğrulama isteğinde bulunun düzelir. 								ByRecep77 adlı üyeden alıntı:						mesajı görüntüle									En mantıklısı bu olur spam linkler temizlenir sorgulardan kaldırmak zor değil biraz zamanını alır o kadar . Sistemi yeniden kurduktan sonra

XML ile çektiğin veri ile gelen admin ve alt yöneticileri kontrol et
Kurulan tema dosyalarını detaylı incele Header veya Footer içerisinde spam link veya Base64 , Shell ve MallWare olabilir
Kurulan eklentileri detaylı incele
Veri tabanında anormal olan bir tablo varmı

bunları detaylı kontrol et sonrasında siteyi kullanmaya başla ama arada kontrol etmeye ihmal etme siteni 		Yardımlarınızdan dolayı çok teşekkür ederim. Turhost'dan hosting aldım, tablette önceden indirilmiş ne varsa sildim sıfırdan kurulum yapacağım hiçbir veriyi aktarmadan. 3-5 konu vardı zaten onlarıda sildireceğim Google URL kaldırma yoluyla, her şeye sıfırdan başlayacağım. En azından yolun başında temiz bir kurulum ile devam etmek en mantıklısı olacaktır. Tema dosyalarını bile sildim themeforest üzerinden zip olarak indirip sunucuya yükleyip açacağım. Sanırım bu şekilde garantiye almış olurum.

Tekrardan teşekkür ederim hepinize.

ByRecep77 · Answer

En mantıklısı bu olur spam linkler temizlenir sorgulardan kaldırmak zor değil biraz zamanını alır o kadar . Sistemi yeniden kurduktan sonra

XML ile çektiğin veri ile gelen admin ve alt yöneticileri kontrol et
Kurulan tema dosyalarını detaylı incele Header veya Footer içerisinde spam link veya Base64 , Shell ve MallWare olabilir
Kurulan eklentileri detaylı incele 
Veri tabanında anormal olan bir tablo varmı

bunları detaylı kontrol et sonrasında siteyi kullanmaya başla ama arada kontrol etmeye ihmal etme siteni

Misafir adlı üyeden alıntı:						mesajı görüntüle									Hocalarım şimdi ben her şeyi sileyim, 5/6 yazım var zaten onlarda gitsin sıfır bir hosting açıp temiz dosyalarla her şeye sıfırdan başlayayım. Google'dan da index alan tüm sayfaları manuel sildireyim. Sizce en mantıklısı böyle olmaz mı?

chnyrdkl · Answer

Misafir adlı üyeden alıntı:						mesajı görüntüle									Uyarı vermiyor hocam Google Search, themeforestten 39 dolara tema satın aldım onu kullanıyorum ama hosting kaynaklı olmasından şüpheleniyorum. Hosting firmasını değiştirip her şeyi yolun başındayken sıfırdan kuracağım. 		Hosting firması değişikliği bir işe yaramayacaktır. Yazılımsal bir sorun bu.
Geçmişte w.rez eklenti ya da tema kullandiysaniz Google tarafından İndex alınmıştır bu şekilde.
Dilerseniz virüsleri yarın temizleyebilirim. 
Kullandığınız tema ve eklentiden eminseniz ilerleyen süreçlerde sorun yaşamazsınız.

Virüs temizlendikten sonra Google a sitemap yollarsınız ya da doğrulama isteğinde bulunun düzelir.

ahmetyerli · Answer

chnyrdkl adlı üyeden alıntı:						mesajı görüntüle									Google search da uyarı veriyor mu? Tekrar değerlendirme isteğinde bulunun.
Görünüşe göre w.rez tema ya da eklenti kullanıyorsunuz 		Uyarı vermiyor hocam Google Search, themeforestten 39 dolara tema satın aldım onu kullanıyorum ama hosting kaynaklı olmasından şüpheleniyorum. Hosting firmasını değiştirip her şeyi yolun başındayken sıfırdan kuracağım.

chnyrdkl · Answer

Google search da uyarı veriyor mu? Tekrar değerlendirme isteğinde bulunun.
Görünüşe göre w.rez tema ya da eklenti kullanıyorsunuz

Nookta · Answer

Misafir adlı üyeden alıntı: mesajı görüntüle

Merhaba arkadaşlar. Herhangi bir war.ez tema veya eklenti kullanmamış olmama rağmen virüs taramasında bir tuhaflık var. iPad kullandığım için bilgisayardan bulaşma ihtimalide olamaz ama bunlara rağmen nasıl bulaştı anlamadım.

Tarama sonucunu ekran görüntüsü olarak paylaşıyorum.

Belirttiği dosyaları komple kaldırdım yeni wordpress dosyaları kurdum ama hala aynı sonuçlar var taramada. Nasıl çözümleyebilirim acaba?

ahmetyerli · Answer

ByRecep77 adlı üyeden alıntı:						mesajı görüntüle									Google de index alan dosyaları zamanla gider ama Google Getir özelliği ile sanırım linkler silinebiliyordu paneli uzun zamandır kullanmıyorum bir inceleyin isterseniz 								Nookta adlı üyeden alıntı:						mesajı görüntüle									yenilediysen, manuel olarak URL'leri kaldırmalısın sonrasında düzelir eğerki temizledim diyorsan 		Hocalarım şimdi ben her şeyi sileyim, 5/6 yazım var zaten onlarda gitsin sıfır bir hosting açıp temiz dosyalarla her şeye sıfırdan başlayayım. Google'dan da index alan tüm sayfaları manuel sildireyim. Sizce en mantıklısı böyle olmaz mı?

Nookta · Answer

Misafir adlı üyeden alıntı:						mesajı görüntüle									SQL'yi komple sildim hosting bile sıfırlandı ve tekrar yeniden açtım hosting'i temiz kurulumu öyle yaptım hocam eski SQL'yi kullanmadım yenisinde. 		yenilediysen, manuel olarak URL'leri kaldırmalısın sonrasında düzelir eğerki temizledim diyorsan

ByRecep77 · Answer

Google de index alan dosyaları zamanla gider ama Google Getir özelliği ile sanırım linkler silinebiliyordu paneli uzun zamandır kullanmıyorum bir inceleyin isterseniz

Nookta · Answer

sql yi kontrol ettin mi

ahmetyerli · Answer

@ByRecep77; @Nookta;  @Ayzeta; @Looker; @CliaWeb;

Bugün index alan sayfalar, muhtemelen daha önce indexlendi ama url yapılarına bakarsanız rondom url üretiyor ve hepsi aynı sayfaya çıkyor.  Ne yapabilirim arkadaşlar? Bugün hosting'i komple kapattırıp baştan açtırdım yeni temiz kurulum yaptım. WordPress ve tema dosyalarını sıfırdan indirip zip olarak webden yükledim sunucudayken zip'i açtım. Zaten iPad kullanıyorum virüs bulaşma ihtimali tablete yok ama yinede güvenli kurulum yaptım.

Malware eklentisi sonucu yine aynı R10 seo analiz sonucuda aynı. Önceki yedekten yüklediğim tek veri sayfa ve yazıların XML dosyaları başka hiçbir yedek yüklemedim. XML'den tekrar bulaşma ihtimali var mıdır acaba? WP-Admin'de JS klasöründe kendi kendine sürekli oluşan dosyalar artık oluşmuyor ama analiz sonuçları uyarı vermeye devam ediyor.

ahmetyerli · Answer

CliaWeb adlı üyeden alıntı:						mesajı görüntüle									Merhaba ahmetyerli,

1- https://www.cliaweb.com/knowledgebas...Onlemleri.html
2- https://www.cliaweb.com/knowledgebas...Temizleme.html
3- https://blog.cliaweb.com/wordfence-m...temizleme.html

İyi çalışmalar. 		Yardımlarınız için çok teşekkürler hocam, tarama işlemini yaptım ve zararlı dosya bulunamadı. Sanırım virüs yok?

CliaWeb · Answer

Misafir adlı üyeden alıntı:						mesajı görüntüle									Merhaba arkadaşlar. Herhangi bir war.ez tema veya eklenti kullanmamış olmama rağmen virüs taramasında bir tuhaflık var. iPad kullandığım için bilgisayardan bulaşma ihtimalide olamaz ama bunlara rağmen nasıl bulaştı anlamadım.

Tarama sonucunu ekran görüntüsü olarak paylaşıyorum.

Belirttiği dosyaları komple kaldırdım yeni wordpress dosyaları kurdum ama hala aynı sonuçlar var taramada. Nasıl çözümleyebilirim acaba? 		Merhaba ahmetyerli,

1- https://www.cliaweb.com/knowledgebas...Onlemleri.html
2- https://www.cliaweb.com/knowledgebas...Temizleme.html
3- https://blog.cliaweb.com/wordfence-m...temizleme.html

İyi çalışmalar.

ahmetyerli · Answer

Nookta adlı üyeden alıntı:						mesajı görüntüle									tam olarak ne yapiyor bu; yani sikayetiniz nedir? sayfamı aciliyor, başka URL mi var? 		Site analiz aracında zararlı kod çıkıyor ve Anti-Malware eklentisinde bu uyarıları veriyor. Konuya eklediğim dosyalar sürekli yenileniyor silmeme rağmen. Sitede görünür bir şey yok ama.

Nookta · Answer

tam olarak ne yapiyor bu; yani sikayetiniz nedir? sayfamı aciliyor, başka URL mi var?

Looker · Answer

Misafir adlı üyeden alıntı:						mesajı görüntüle									Veridyen, destek bildiriminde sitenizin bulunduğu sunucuda 500+ site var dediler.


Maalesef bende ondan şüpheleniyorum hocam, ThemeForest orijinal tema dosyasından bulaşma ihtimali yok, kullandığım eklentiler Yoast Seo Litespeed cache gibi bilindik eklentiler ve wordpress panelinden yükledim harici bir siteden indirip kurmadım.

iPad kullanıyorum birde, Windows PC kullansam oradan bulaştı diyeceğim ama iPadOS'dan bulaşması imkansız. 

Çözüm öneriniz nedir acaba? 		Cihazınızın temiz olduğundan eminseniz başka bir hostinge kurup deneyin hocam, düzelirse sorun hosttanmış dersiniz. Yine aynı problem yaşanırsa bir şekilde dosyalardan ya da kendinizden şüphe duyarsınız. Yani ben olsam böyle yaparım. En son çare olarak forumda virüs/shell temizliği yapan kişiler var ücretli/ücretsiz yardım alabilirsiniz. Ancak sorunun kökenine inmek için tavsiyem önce hostu değiştirip denemenizdir.

ahmetyerli · Answer

ByRecep77 adlı üyeden alıntı:						mesajı görüntüle									Hangi hosting firması ve aynı hesapta kaç adet site var ? 		Veridyen, destek bildiriminde sitenizin bulunduğu sunucuda 500+ site var dediler.

Looker adlı üyeden alıntı:						mesajı görüntüle									Hosting sunucusunda bir açık var ise oradan giriyor ve kendini yeniliyor olabilir. 		Maalesef bende ondan şüpheleniyorum hocam, ThemeForest orijinal tema dosyasından bulaşma ihtimali yok, kullandığım eklentiler Yoast Seo Litespeed cache gibi bilindik eklentiler ve wordpress panelinden yükledim harici bir siteden indirip kurmadım.

iPad kullanıyorum birde, Windows PC kullansam oradan bulaştı diyeceğim ama iPadOS'dan bulaşması imkansız.

Çözüm öneriniz nedir acaba?

Nookta adlı üyeden alıntı:						mesajı görüntüle									site adresi nedir? 		buradan ulaşabilirsiniz hocam.

İncludes dosyası içerisinde sürekli bunlar oluşuyor, içeriği komple yeni dosyalar ile temizlememe rağmen.

Ayzeta · Answer

Taramayı yapan eklentinin de söylediği gibi bunlar kötü amaçlı yazılım olmayabilir. Sadece potansiyel olarak nitelendirilmiş. Whm erişiminiz varsa clamav veya imunify üzerinden tarayabilirsiniz.

Nookta · Answer

site adresi nedir?

Looker · Answer

Hosting sunucusunda bir açık var ise oradan giriyor ve kendini yeniliyor olabilir.

ByRecep77 · Answer

Hangi hosting firması ve aynı hesapta kaç adet site var ?

depresanz · Answer

Sunucuya kurulan diğer sitelerden atlamış olabilir.