Ботнет 10к+ на wp-login

Тем временем, список почти подошёл к планке в 50к. http://zalil.ru/34666541 - список IP адресов попавших под фильтрацию на одном "везучем" сервере. Не исключено, что в нём может оказаться несколько сотен НЕ ботов.

На одном из серверов сильно зае... достали, что пришлось сразу два костыля использовать:

1. В httpd.conf установил, как здесь советовали, дополнительную авторизацию для доступа к wp-login.php, admin.php, administrator.php

2. Установил SSD диск скоростной, а то файловая система перестала "отбивать дупль" во время очередного одновременного захода ботов-брутфорсеров, Сапы, Яндекса, Гугла, Гсервисов по типу Ahref собирающих аналитику сразу со всех сайтов без учета нагрузки, которую они создают и прочих индивидуумов.

Теперь красота :) Смотрю на ЛА, server-status и тихо радуюсь :)

Заражение пошло с 1-го августа, эта новость от 6-го, на странице вируса: "Добавлен в вирусную базу Dr.Web: 2013-07-05". Что-то не сходится.

tls, что не сходится? В drweb 5 дней пытались разобраться? Ну бывает.

Их скорость реакции не зависит от скорости работы бота. Может, по их меркам ботнет вообще мелкий. А дата выдачи пресс-релиза вообще дело десятое, на усмотрение маркетинга.

Там июль...

Мой хостер самостоятельно добавил в htaccess:

<Files wp-login.php>

Order Deny,Allow

Deny From All

</Files>

<Files wp-admin/index.php?>

Order Deny,Allow

Deny From All

</Files>

Я прописал Allow from ххх.ххх.хх.хх (свой ip) после Deny, но все равно выдает 403 ошибку Forbidden.

Может, кто знает, в чем дело? Я в этом мало чего понимаю.

Действительно. Ну тут возможны разные варианты и не обладая полной информацией можно всякой ерунды навыдумывать.

Сигнатуры они в массе не вручную создают, а просто скармливают штаммы программе. Новая версия бывает не ловится старыми сигнатурами, а поддерживать постоянную актуальность базы знаний на их сайте задача не приоритетная. Дроппер обновился, база обновилась, а информация на сайте нет.

В любом случае, не вижу смысла не верить пресс-релизу.

За ночь набежало около 70к IP. И это только те кто слишком назойлив.

Может ip динамический? Пропишите подсеть.

Подскажите, сейчас какие запросы идут - post или get?

happy-joker,

Похоже на баг mod_rpaf, читайте тут. Мы столкнулись с подобным и поставили mod_realip на всех серверах, полет нормальный. Предложите Вашему хостеру сделать так же.