Dziwny wiruj - jak sie go pozbyć ?

[seofuture]

Hej, potrzebuję pomocy :)

Pacjent: langlia.pl

Strona była przez pare lat totalnie zawirusowana. We wrzesniu 2016 serwer został fizycznie zmieniony na inny (operator) i została postawiona nowa strona na joomli. Przez kilka miesięcy po postawieniu strony, widziałem w logach że boty sie do niej dobijały ale było pozabezpieczane, ruch w końcu się zatrzymał.

W marcu 2017 ktoś próbował się dodawać do GSC - na szczęście bezskutecznie, profilaktycznie pozmieniałem wszystkie hasła (hasła z generatora)

Kilka dni temu w serpach pod wynikiem wyszukiwania pojawił sie komunikat "Ta witryna mogła paść ofiarą ataku hakerów."

Natychmiast pełne sprawdzenie witryny, wszystkie pliki przetrzepane wirusem i ręcznie, sprawdzona baza - nic nie znalazłem co by niepokojąco wyglądało. Jedyne co odbiega od normy to zawartośc katalogu:

cache/com_templates/

Co kilkanaście minut generuje tam się plik z "krzakami"

site:langlia.pl pokazuje w google ponad 800 wyników choc strona łacznie ma około 30 zakładek.

Google pokazuje mi w koncoli jako przykład infekcji takie linki:

langlia.pl/vjezqxbgu/colorado/4389-8475/befist-metallide/circumagitation.php

do tego znalazłem (chyba) dziwny zapis na końcu .htaccesa:

<IfModule mod_headers.c>
<FilesMatch "\.(jpg|jpeg|png|gif|swf|JPG)$">
Header set Cache-Control "max-age=4838400, public"
</FilesMatch>
<FilesMatch "\.(css|js)$">
Header set Cache-Control "max-age=4838400, private"
</FilesMatch>
</IfModule>

W innych joomlach takie czegoś nie widziałem.

Na koniec po dokładniejszym przekopaniu się przez GSC znalazłem jeszcze jedna perełkę:

W dniu kiedy ktos próbował sie dodać do GSC ostro poszedł do góry SITE - do ponad 6k w szczytowym momencie - teraz wg. GSC jest juz "tylko" 500 i nadal spada.

Gdzie jeszcze to badziewie mogło się ukryc i jak tego szukać bo bez wątpienia cos jeszcze gdzieś siedzi, skoro plik z krzakami się co chwile generuje nowy?

Z góry dziekuję za sugestie i pomoc.
Stefan

[moje]

Masz wyłączone cachowanie?

Czemu nie zaktualizowałeś Joomla do najnowszej wersji?

[seofuture]

9239
Tak mam to poustawiane - joomle zaraz zaktualizuje

[zwiastun]

Masz za sobą spory czas z nierozwiązanym problemem zhakowania strony. Skąd przekonanie, że w grupie na FB albo na Forum uzyskasz jakąś cudowną poradę, która rozwiąże Ci problem? Zleć zadanie profesjonaliście.

[seofuture]

Bo wierzę w ludzi.

Problem został rozwiązany za "dziękuję".

Temat można usunąć bo faktycznie sposobu rozwiązania w nim nie ma i może tylko zaśmiecać.

Jednak okazało się, że w grupie na FB kilka osób od razu chciało pomóc bezinteresownie a tu tylko na pw dostałem ofertę komercyjną z kosmiczną stawką.

Ale do forum sie nie zniechęcam i sobie je postudiuje.

Pozdrawiam
Stefan

[zwiastun]

Równiez pozdrawiam. Dla jasności, to nie ja Ci składałem komercyjną ofertę. I, oczywiście, administracja Forum w żaden sposób nie odpowiada za żadne "oferty z kosmicznymi stawkami". Zauważ, sugerowałem jedynie, byś zlecił sprawę specjaliście, żadnego nie wskazując (a sam się tym akurat nie zajmuję).
Jeśli problem rzeczywiście udało się rozwiązać, to tylko się cieszyć. Oby nie za szybko, bo przecież już raz byłeś przekonany, że problem został rozwiązany, a wrócił.
Pozdrawiam.

[siristru]

W sieci jest kilka dobrych dokumentów jak oczyścić Joomlę po włamie - wystarczy zastosować.
Z reguły po prostu podmieniam wszystkie pliki na nowe (usuwając poprzednie) ale i tak trzeba to robić ze znawstwem.



<IfModule mod_headers.c>
<FilesMatch "\.(jpg|jpeg|png|gif|swf|JPG)$">
Header set Cache-Control "max-age=4838400, public"
</FilesMatch>
<FilesMatch "\.(css|js)$">
Header set Cache-Control "max-age=4838400, private"
</FilesMatch>
</IfModule>


Jest niczym dziwnym - to cache dla plików obrazków, js i css by zoptymalizować prędkość strony.



cache/com_templates/

Co kilkanaście minut generuje tam się plik z "krzakami"


Szablon jest wrzucany do pamięci podręcznej Joomla! Do tego nie musi być włączony cache w samej Joomla! Może to robić dodatek trzeci lub sam szablon.



site:langlia.pl pokazuje w google ponad 800 wyników choc strona łacznie ma około 30 zakładek.


Nic dziwnego bo dla Google adres www i "bez www" to dwa różne adresy, wiec będzie indeksował wszystko. Zrób sobie przekierowanie 301 bo tak tylko spamujesz wyszukiwarkę ^^.

Prawdopodobnie jest tak jak pisze Zwiastun - problem nie został rozwiązany pierwotnie więc teraz zbierasz burzę.