Работаю на одного заказчика, у которого около 50 магазинов на нескольких хостингах. И вот на днях у него один за другим с разных хостов начали приходить сообщения о том, что с сайтов рассылается спам. Аккаунты были заблокированы и мы начали чистить их от хлама. Параллельно я пытался понять где была входная точка.
Первое что меня удивило, я не нашел на сайтах никаких зараженных модулей, аля варез, стучалки и т.д. Ничего подобного. Так же отличались версии движков на разных хостах, из которых происходило заражение остальных сайтов на хостинге. А один из сайтов, на отдельном хостинге, вообще был чистым, без модулей.
В методах иньекций прослеживался один и тот же подчерк, явно это делал один и тот же человек. Удалось понять что заражение произошло из админки, через загрузку php скриптов с расширением .jpg . То есть злоумышленник получает доступ в админку, загружает шелл с расширением как у картинки через файл менеджер в папку download, далее не сложными манипуляциями получает доступ к этому шелу по прямой ссылке и получает фул доступ к фтп.
Методом исключений мы сообразили что вход в админки были получены тупо массовым брутфорсом с подбором самых популярных логин/паролей. Сайты через которые были получены доступы даже не были зарегистрированы в сети, но имели доступ admin/admin. Не спрашивайте почему пароли не были изменены...
Так же, некоторые шелы были залиты еще несколько месяцев, а иногда и лет назад. Если бы злоумышленник захотел напакостничать более жестко, он бы мог перехватывать данные покупателей и сделок и манипулировать ими, даже без нашего ведома, нам повезло что это был банальный спамер..
Короче 3 дня гемора с очисткой, заставили меня задуматься что не стоит такие простые пароли ставить даже на локалке, чтобы потом не забыть их переделать. А так же более серьезно подойти к вопросу прав на папки и правил подмены расширений в настройках сервера.
Ну и двойная аутентификация тоже не помешает.
Все оказалось банально просто и глупо, поэтому у кого до сих пор примитивные пароли - бегом их меняйте.