202cb962ac59075b964b07152d234b70

Question

merhaba arkadaşlar. sitemin en üst kısmında
202cb962ac59075b964b07152d234b70

yazıyor. ne yapmalıyım
sitem: fizikciserkan.com

anka · Answer

Merhabalar Malware yani virus bulaşmış destek isterseniz uzmanlık alanım +90 542 572 26 46

rizikos · Answer

webgiller adlı üyeden alıntı:						mesajı görüntüle									Merhabalar Malware yani virus bulaşmış destek isterseniz uzmanlık alanım +90 542 572 26 46 		teşekkürler hocam. hosting ile iletişim kurayım. çözemezsem size ulaşırım

anka · Answer

rizikos adlı üyeden alıntı:						mesajı görüntüle									teşekkürler hocam. hosting ile iletişim kurayım. çözemezsem size ulaşırım 		Hosting sadece yedek varsa yedeğe döner birisi güvenlik açığını kapatmazsa tekrar saldırırlar.

ByRecep77 · Answer

MD5 olarak "123" değerine karşılık gelir.

shadow_cyber · Answer

Merhabalar,
Web sitenizin en üst bölümünde beliren 202cb962ac59075b964b07152d234b70 kodu kesinlikle normal bir sistem hatası değil, aktif bir güvenlik ihlalidir (hackleme).
Teknik olarak bu kod, "123" sayısının MD5 algoritmasıyla şifrelenmiş halidir. Siber güvenlikte bu durum oldukça klasiktir; web sitenize sızan otomatik saldırı botları, sunucuda zararlı PHP kodları yürütebildiğini doğrulamak için sisteme echo md5(123); şeklinde bir test imzası bırakırlar. Bu çıktının ekranda görünmesi, sitenizin maalesef arka kapı (backdoor) barındıran zararlı bir yazılımla ele geçirildiğini kanıtlamaktadır.
Sadece bu kodu ekrandan silmek geçici bir çözümdür ve hosting firmanızın yedeğe dönmesi açığı kapatmaz; botlar birkaç saat içinde sitenize yeniden sızacaktır. Müdahale edilmediği takdirde siteniz arama motorlarında (Google) 'Zararlı site / Tehlikeli içerik' uyarısı alabilir ve bu durum şirketinizin marka prestijine ciddi zarar verebilir.
Sistemin tamamen sterilize edilmesi ve açığın kapatılması adına tarafımızca yapılacak acil eylem planı şu şekildedir:Enfekte Dosyaların Tespiti: Başta wp-config.php, functions.php, header.php ve .htaccess dosyaları olmak üzere; sisteme sızdırılmış olan eval(, base64_decode, str_rot13 gibi zararlı şifreli kod blokları taranıp temizlenecektir.
Çekirdek Klasör Yenileme: WordPress ana sistem dosyaları (wp-admin ve wp-includes) orijinal, temiz versiyonlarıyla tamamen değiştirilecektir.
Derinlemesine Güvenlik Taraması: Sunucu düzeyinde yüksek hassasiyetli zararlı yazılım (malware/shell) taraması yapılarak gizlenmiş tüm arka kapılar yok edilecektir.
Log Analizi ve Kök Neden Tespiti: Hosting access log (erişim kayıtları) incelenerek botun sisteme hangi eklenti veya güvenlik açığı üzerinden girdiğini tespit edip o çatlak kalıcı olarak kapatılacaktır.
Erişim Güvenliği: Veritabanı, FTP ve yönetim paneli şifreleri üst düzey karmaşıklıkta şifrelerle sıfırlanacaktır.
Şirketinizin dijital varlıklarını ve marka güvenliğini korumak adına duruma acilen müdahale etmemiz gerekmektedir. Onayınız doğrultusunda gerekli panel erişimlerini iletmeniz halinde işlemlere hemen başlayabiliriz.
Geçmiş olsun dileklerimle, iyi çalışmalar dilerim.

shadow_cyber · Answer

Hocam, sitenizin kaynak kodunu (CTRL+U) manuel olarak inceledim ve saldırganın izini 146. satırda tespit ettim.
Saldırganlar, meşru görünen Elementor meta etiketini bir maskeleme (cloaking) aracı olarak kullanıyorlar: <meta name="generator" content="Elementor 4.0.9; features: additional_custom_breakpoints; ...">
Bu satır, dışarıdan bakıldığında sıradan bir eklenti bilgisi gibi görünüyor ancak saldırganlar bu etiketi, sitenize sızan zararlı PHP kodlarını gizlemek için kamuflaj olarak kullanıyor. Siz CTRL+U yaptığınızda veya yönetici olarak girdiğinizde sistem size 'temiz' bir görüntü sunuyor. Ancak sunucu tarafında çalışan ve functions.php veya header.php gibi çekirdek dosyalarınızın içine gizlenmiş olan bu zararlı yapı, siteyi ziyaret eden Google botlarını manipüle etmek için o MD5 imzasını (202cb...) dinamik olarak oluşturuyor.
Özetle: Sitenizdeki sorun bir eklenti ayarı değil, kök dizine yerleşmiş profesyonel bir 'Backdoor' (arka kapı) enfeksiyonudur. Sadece MD5 kodunu silmek geçicidir; bu maskeleme kodunu üreten ve arka planda operasyon yöneten zararlı eval() / base64 blokları temizlenmediği sürece saldırgan sistemdeki kontrolünü korumaya devam edecektir.
Hocam, teknik detaylar bu şekilde. Eğer isterseniz dosya sterilizasyonu ve log analizi ile bu sızıntıyı kökten çözebiliriz.

UbrTrade · Answer

shadow_cyber adlı üyeden alıntı: mesajı görüntüle

Hocam, 'o satırın kendisi' zaten Elementor'un sürüm bilgisidir, bunu herkes biliyor. Ben de zaten o satırın 'kendisini' virüs olarak tanımlamadım; o satırın, sitenize sızan 'Backdoor' yapısının' bir kamuflaj (maskeleme) çatısı olarak kullanıldığını belirttim.
Sizin sitenizde o satır varken ekranda 202cb... (MD5 123) kodu yazıyor mu? Yazmıyor. FizikciSerkan sitesinde o satır varken ekranda 202cb... yazıyor mu? Yazıyor.
Eğer o kod sadece bir Elementor sürüm bilgisi olsaydı, sizin sitenizde de aynı 202cb... çıktısını vermesi gerekirdi. Saldırganlar, functions.php içerisine gizledikleri bir hook ile sitenin head kısmını manipüle ediyor ve o meta etiketinin olduğu bölüme/yakınına bu zararlı çıktıyı enjekte ediyorlar.
Teknik bir analiz yaparken sadece 'statik' kod parçalarına bakılmaz; o kodun 'dinamik' (çalışma zamanı) çıktısına ve sistemin davranışına bakılır. Eğer sizin sitenizde o satır varken hiçbir sorun yoksa, demek ki sizde o 'Backdoor' aktif değil veya saldırgan size henüz dokunmamış. Ama burada bariz bir 'bot yönlendirmesi' var. İyi çalışmalar.

teşekkür ederim hocam sizede iyi çalışmalar ilgili sitedeki kaynak kodundaki belirttiğiniz satır helen mevcut fakat belirtilen MD5 kodu sitede yok sanırım elementordan değilmiş yada site sahibi anltamak ister neler olduğunu şuan kod yok

UbrTrade · Answer

rizikos adlı üyeden alıntı:						mesajı görüntüle									merhaba arkadaşlar. sitemin en üst kısmında
202cb962ac59075b964b07152d234b70

yazıyor. ne yapmalıyım
sitem: fizikciserkan.com 		Hocam kaçak göçek yüklediğiniz uygulama tema varsa sorun ondan olabilir null sitelerden dosya indirmemenizi önerebilirim bilgili arkadaşlar sitenizdeki açık varsa yada gerçekten hacking şüphesi varsa düzelteceklerdir ama ben bir hack olayı olduğunu sanmıyorum yinede dediğim gibi siber güvenlik uzmanlarının incelemesi daha mantıklı

shadow_cyber · Answer

UbrTrade adlı üyeden alıntı:						mesajı görüntüle									hocam o satır bende de var
<meta name="generator" content="Elementor 4.0.9; features: additional_custom_breakpoints; settings: css_print_method-external, google_font-enabled, font_display-auto">

ben burada hack olabilecek bir şey de ghöremedim benim bu satırdan anladığım (Site Elementor ile oluşturulmuş ve Elementor kendi sürüm/ayar bilgisini HTML kaynak koduna yazmış ) yanlışsam düzeltin lütfen

Hocam, 'o satırın kendisi' zaten Elementor'un sürüm bilgisidir, bunu herkes biliyor. Ben de zaten o satırın 'kendisini' virüs olarak tanımlamadım; o satırın, sitenize sızan 'Backdoor' yapısının' bir kamuflaj (maskeleme) çatısı olarak kullanıldığını belirttim.
Sizin sitenizde o satır varken ekranda 202cb... (MD5 123) kodu yazıyor mu? Yazmıyor. FizikciSerkan sitesinde o satır varken ekranda 202cb... yazıyor mu? Yazıyor.
Eğer o kod sadece bir Elementor sürüm bilgisi olsaydı, sizin sitenizde de aynı 202cb... çıktısını vermesi gerekirdi. Saldırganlar, functions.php içerisine gizledikleri bir hook ile sitenin head kısmını manipüle ediyor ve o meta etiketinin olduğu bölüme/yakınına bu zararlı çıktıyı enjekte ediyorlar.
Teknik bir analiz yaparken sadece 'statik' kod parçalarına bakılmaz; o kodun 'dinamik' (çalışma zamanı) çıktısına ve sistemin davranışına bakılır. Eğer sizin sitenizde o satır varken hiçbir sorun yoksa, demek ki sizde o 'Backdoor' aktif değil veya saldırgan size henüz dokunmamış. Ama burada bariz bir 'bot yönlendirmesi' var. İyi çalışmalar.

shadow_cyber · Answer

@UbrTrade;
Hocam, 'o satırın kendisi' zaten Elementor'un sürüm bilgisidir, bunu herkes biliyor. Ben de zaten o satırın 'kendisini' virüs olarak tanımlamadım; o satırın, sitenize sızan 'Backdoor' yapısının' bir kamuflaj (maskeleme) çatısı olarak kullanıldığını belirttim.
Sizin sitenizde o satır varken ekranda 202cb... (MD5 123) kodu yazıyor mu? Yazmıyor. FizikciSerkan sitesinde o satır varken ekranda 202cb... yazıyor mu? Yazıyor.
Eğer o kod sadece bir Elementor sürüm bilgisi olsaydı, sizin sitenizde de aynı 202cb... çıktısını vermesi gerekirdi. Saldırganlar, functions.php içerisine gizledikleri bir hook ile sitenin head kısmını manipüle ediyor ve o meta etiketinin olduğu bölüme/yakınına bu zararlı çıktıyı enjekte ediyorlar.
Teknik bir analiz yaparken sadece 'statik' kod parçalarına bakılmaz; o kodun 'dinamik' (çalışma zamanı) çıktısına ve sistemin davranışına bakılır. Eğer sizin sitenizde o satır varken hiçbir sorun yoksa, demek ki sizde o 'Backdoor' aktif değil veya saldırgan size henüz dokunmamış. Ama burada bariz bir 'bot yönlendirmesi' var. İyi çalışmalar.

UbrTrade · Answer

shadow_cyber adlı üyeden alıntı:						mesajı görüntüle									Hocam, 'o satırın kendisi' zaten Elementor'un sürüm bilgisidir, bunu herkes biliyor. Ben de zaten o satırın 'kendisini' virüs olarak tanımlamadım; o satırın, sitenize sızan 'Backdoor' yapısının' bir kamuflaj (maskeleme) çatısı olarak kullanıldığını belirttim.
Sizin sitenizde o satır varken ekranda 202cb... (MD5 123) kodu yazıyor mu? Yazmıyor. FizikciSerkan sitesinde o satır varken ekranda 202cb... yazıyor mu? Yazıyor.
Eğer o kod sadece bir Elementor sürüm bilgisi olsaydı, sizin sitenizde de aynı 202cb... çıktısını vermesi gerekirdi. Saldırganlar, functions.php içerisine gizledikleri bir hook ile sitenin head kısmını manipüle ediyor ve o meta etiketinin olduğu bölüme/yakınına bu zararlı çıktıyı enjekte ediyorlar.
Teknik bir analiz yaparken sadece 'statik' kod parçalarına bakılmaz; o kodun 'dinamik' (çalışma zamanı) çıktısına ve sistemin davranışına bakılır. Eğer sizin sitenizde o satır varken hiçbir sorun yoksa, demek ki sizde o 'Backdoor' aktif değil veya saldırgan size henüz dokunmamış. Ama burada bariz bir 'bot yönlendirmesi' var. İyi çalışmalar. 		teşekkür ederim hocam sizede iyi çalışmalar ilgili sitedeki kaynak kodundaki  belirttiğiniz satır helen mevcut fakat belirtilen MD5 kodu sitede yok sanırım elementordan değilmiş yada site sahibi anltamak ister neler olduğunu şuan kod yok

rizikos · Answer

Eklentiler içerisinde shell eklentisi buldum. Onu sildim. Düzeldi. Ama açığı bulmam ve kapatmam gerekiyor

rizikos · Answer

İlginiz için de teşekkür ediyorum ayrıca

shadow_cyber · Answer

@UbrTrade;  hocam, ilginiz için teşekkürler. Yazdıklarımı dikkatli okursanız zaten 'o satır virüstür' demediğimi, o satırın bir 'maskeleme çatısı' olarak kullanıldığını belirttiğimi görebilirsiniz.
Sitenin şu an o çıktıyı vermiyor olması, saldırının bittiği anlamına gelmez; saldırganların bu tarz zararlı yazılımlarda uyguladığı 'statik durum izleme' mekanizmasının bir sonucudur. Kodun anlık olarak görünmemesi, arka kapının (backdoor) temizlendiğini değil, saldırganın aktif bir izleme/değiştirme (polymorphic/dynamic obfuscation) yaptığını kanıtlar.
Siber güvenlikte 'şu an görünmüyor o zaman sorun yok' yaklaşımı çok tehlikeli bir yanılgıdır. Konuyu daha fazla teknik spekülasyona boğmadan, site sahibinin güvenliğini sağlamak adına süreci profesyonel bir log ve dosya analizi ile netleştirmek en doğrusu olacaktır. İyi çalışmalar.

shadow_cyber · Answer

@rizikos;
Hocam, 'shell' eklentisini bulup silmeniz güzel, ancak o eklenti sitenize ana kapıdan girmedi. O eklenti, saldırganın daha önce sisteme enjekte ettiği bir 'arka kapı' (backdoor) aracılığıyla kuruldu. Siz sadece sonucu sildiniz, o kapıyı oluşturan zararlı kod blokları hala sunucunuzda duruyor.
Eğer o kapıyı kapatmazsanız, saldırgan 1 saat sonra veya birkaç gün içinde sisteminizdeki diğer zafiyetlerden yararlanarak tekrar aynı veya farklı bir shell eklentisi yükleyecektir. İşi şansa bırakmayalım; onayınız olursa sistemin tam temizliğini yapıp, saldırganın hangi log üzerinden girdiğini tespit ederek o 'ana giriş noktasını' kalıcı olarak mühürleyelim. İşin devamı için PM (özel mesaj) üzerinden detayları görüşebiliriz.