Хитрый (или не очень) взлом сайта. Хелп!

И всё испортить, ага.

Спасибо Вам, как всегда, за подключение к теме. В случае, если звездец будет прогрессировать, да, напишу.

Да, так и сделаем. Что-то я перегрелся. Может, надо пока закрыть эту тему.

проверь на сервере файлы антивирусом ImunifyAV (ex. Revisium)
покажет зараженные файлы. их надо будет удалить. сверь с бекапом, будут лишние файлы.
тока пока не удалить инсталятор они будут появляться снова.
как будешь удалять выруби все сайты на акке. И проверь остальные сайты. у меня было похожее, заразились все сайты.
вспоминай какой халявный плагин там ставили, или на соседний сайт, с нулед плагинов такое и прилетает.
да там ничего сложного я ловил раза 3 за все время сам все удалял.
Ну или вариант снести и бекап чистый поставить. Но повторю заражаются все соседние сайты. и если не вылечить хоть 1, то потом опять прилетит на все.

Если не вылечили, обращайся, помогу ( за так)
Все делается очень просто без всяких антивирусов и поиска зараженных файлов.

Защищается тоже один раз и навсегда все сайты, без лишних антивирусов
прописываются запреты в config и htaccess

Но от плагинов косячных это не защитит. Плагин сам по себе может вредоносить.

Попросить хостера, чтобы он все сайты антивирусом прогнал, потом удалить все вредоносные и подозрительные файлы. Но перед такой работой опытный хостер всего создаст бэкап сервера на всякий пожарный случай. Если и это не поможет, то всегда можно откатить сервер на работу без вирусов, восстановив сервер из бэкапа, на котором работало все, как надо.

Какой в этом всем смысл, если не закрыть дырку? Ну получите вы "чистый" сайт на пару-тройку дней, а дальше все по кругу через те же дыры.

Во всем накатывание и удаление кода нету никакого смысла, если у него получилось туда попасть, значит он попадет еще раз.

Накатываем прошлую версию без вируса, желательно чистую сборку самой цмс которая шла при инсталляции, модули потом допиливать

Меняем все пароли, начина от базы, заканчивая фтп

Закрываем возможные пробелы в доступах, выставляем чмоды, желательно конфиги и дб конфиги вообще закрыть 644, не выше

Затем максимально закрываем админские аккаунты, давая доступ им только по айпи

Пересматриваем логику .htaccess по залифу хитрых файлов, с которых можно залить файлы в папку uploads, а то и вовсе пока не давать доступа для залива, может хитрый школьный хакер отвалится сам, потому-что надоест.

Админку желательно admin.php поменять на какой-то другой, который будет известен только вам

Зачастую после таких манипуляций, даже на старых дырявых цмс, больше не бывает взломов.

Да вообще может не было никакого взлома. Надо смотреть пациента

Переустановили WP с предустановленным контентом, вот и появились новые страницы. Старые убились появились 404.