Узнать откуда лезет вирус

[empty]

Добрый день.

 

Перенес сайт на хостинг клиента, хостинг Hetcer, сайт https://confento.com, шаблон стандартный, и через некоторое время он оказался зараженным.

Через ai-bolit прогнал, удалил все зараженные файлы, скрипты, заново рекурсивно в ISP панели выставил 755 на папки и 644 на файлы.

Починил.

Проходит дня 3-4 - ситуация повторилась вновь.

.htaccess права с 644 сменил на 444, куча индексных файлов, index.html.bak.bak, в index.php ссылка на хедер вордпресса (оО), в айболите 8 заражений, куча каких то левых .php файлов.

Все удалил, полазил по папкам, нашел кучу файлов левых, тоже удалил, снова права поправил.

Но чувствую что в какой то момент снова может оказаться такая беда.

Вот установленные дополнения - http://joxi.ru/4AkQEbOIydqozm - может кто в курсе, что с какого-то из них лезет вирусня.

 

Подскажите пожалуйста, каким образом можно выявить, где уязвимость? Как узнать откуда лезет весь этот мусор?

Так же - как можно защитить сайт от вирусных атак?

 

Спасибо!

[spectre]

Могу помочь в лс

[dedvjbed]

рядом на аккаунте хоста вп не стоит случайно ? у меня у клинта такая хрень была что через вп лезли. удалили вп и все пропало

[empty]

24 минуты назад, nikifalex сказал:

так а сайт вы делали? или вы просто перенесли?

vds?

 

Сайт делал я, домен клиентский, хостинг предыдущего руководителя, делал у себя на хостинге, потом перенес.

Вроде vds.

На этом аккаунте ещё несколько пользователей, сайты с джумлой, возможно и с вордпрессом.

[empty]

25 минут назад, dedvjbed сказал:

рядом на аккаунте хоста вп не стоит случайно ? у меня у клинта такая хрень была что через вп лезли. удалили вп и все пропало

На этом аккаунте ещё несколько пользователей, сайты с джумлой, возможно и с вордпрессом.

Перенести пока не вариант, потому что ещё полгода пользования, возврата средств они не делают а клиент платить заново не намерен...

[spectre]

4 минуты назад, empty сказал:

а клиент платить заново не намерен...

 

если клиент не намерен платить а вы не в курсе - лучше просто разойдитесь)

[dedvjbed]

возможно что с джумлы лезет. в общем помашите клиенту ручкой и пусть он сам там со своими помойками разруливает.

[empty]

25 минут назад, spectre сказал:

 

если клиент не намерен платить а вы не в курсе - лучше просто разойдитесь)

 

22 минуты назад, dedvjbed сказал:

возможно что с джумлы лезет. в общем помашите клиенту ручкой и пусть он сам там со своими помойками разруливает.

 

Понимаю и согласен, но они потом перейдут ко мне, это раз, и помимо директа сарафанное радио тоже работает и они мне уже двух клиентов привели, а могут ещё, так что мне лучше решить эту проблему и ещё сотрудничать.

 

Вы мне лучше скажите - знает кто что почитать, или где посмотреть какие ещё настройки сделать, помимо настройки прав, сокрытия админки, двойной аутентификации.

[dedvjbed]

если с других сайтов лезут то нечего вы не сделаете только переводить на отдельный аккаунт

[empty]

17 минут назад, dedvjbed сказал:

если с других сайтов лезут то нечего вы не сделаете только переводить на отдельный аккаунт

Понял вас, спасибо!

[Vetroff]

Если есть возможность, настройте open_basedir для каждого сайта в аккаунте на его корень, а не общую папку. Это может помочь, если лезет через дырявые плагины.

[empty]

14 минут назад, nikifalex сказал:

Если там vds то все что нужно это дать root доступ грамотному сисадмину. Он все сделает.

 

Делать же по советам форума - делать только больнее.

Я вас понял, спасибо.

Но мне доступы не дадут, там админ сам умный.

[AlexDW]

8 часов назад, empty сказал:

Вот установленные дополнения - http://joxi.ru/4AkQEbOIydqozm

дополнения с варезопомойки ocmod.net - кандидат раз

 

8 часов назад, empty сказал:

На этом аккаунте ещё несколько пользователей, сайты с джумлой, возможно и с вордпрессом.

еще кандидаты

 

в большинстве случаев все как обычно

 

[empty]

16 часов назад, AlexDW сказал:

дополнения с варезопомойки ocmod.net - кандидат раз

 

Про вот это не знал, спасибо. Вообще не думал что это варезник, просто в гугле вбил и все... Даже на вирустотал не проверил, моя ошибка, этот окмод будет удален.

По поводу того что с других аккаунтов лезет все уже узнал и работаю над этим.

Пароли все сложные.

А вот по поводу настроек фтп и прочего - спасибо.

Если ещё сделаю двухфакторную аутентификацию на админку - это очень поможет? Или не особо?

[Vetroff]

2 часа назад, empty сказал:

Если ещё сделаю двухфакторную аутентификацию на админку - это очень поможет? Или не особо?

 

если пароль сложный, то смысла особиго в 2ф нет