Independence: Угу, именно там. Значит это явный косяк хостера. Причем я папку с Webalizer отдельно еще прикрыл через .htpasswd, но все равно не помогло (если, конечно, дело в нем) - возможно обращались нарямую к программе, котоая где-то там стоит в недрах РБК.
PS: если вы там же хоститесь, то наверняка найдете те же файлы, что и я. вообще хотелось бы понять, что и где нужно почистить, чтбы ликвидировать заразу.
Мне прислали список файлов, которые якобы заражены. Но, как я понимаю, ложная тревога.
У меня в основном в списке зараженных файлы из папки tmp и языковые. Очистила на всякий случай
tmp. Проверила все ноуты на вирусы и сменила пароли всюду. Хотя, понимаю, что зря. :) Но на тот момент еще не знала, что у всех фигня такая.
Independence: Утро началось недобро. На одном из сайтов такое...
Антивирусная проверка сайта шлет на мейл визги, что по адресу вида: ... /webalizer/usage_200801.html обнаружено зло в виде: winnow.botnet.ff.trojans.23137.UNOFFICIAL
В процессе проверки на сервере найдены "левые" файлы: index.php, cn.php, wap.php, config, system, где файл config составляет более 20 Мб. (нафига?)
В файле htaccess найдены традиционные для таких тем RewriteCond %{HTTP_USER_AGENT} acs [NC,OR] RewriteCond %{HTTP_USER_AGENT} alav [NC,OR] RewriteCond %{HTTP_USER_AGENT} alca [NC,OR] ... RewriteCond %{HTTP_ACCEPT} "text/vnd.wap.wml|application/vnd.wap.xhtml+xml" [NC,OR] ... RewriteRule ^(.*)$ http://adresdolbodyatlov.net/?a=u2w4t2w423m254l [L,R=302]
Естественно, пришлось писать в суппорт разобраться, что за фигня. Ответа пока не пришло.
Какие будут мнения?
На первый взгляд все дело может быть в Webalizer, там дыра и тогда это явный прокол хостера. Но может я и ошибаюсь, и нужно в своих скриптах дыру поискать, больше особо негде, так как каких-то внешних форумов, CMS и пр. на этом сайте не стоит. И PHP я не пользуюсь тоже.
Более интересный вопрос - украли ли какой-то контент с сайта и пр. информацию, так как там самописные скрипты и пр.? Как это можно определить? В чем цель взлома была?
Если просто детишки балуются, чтобы лишние пару-тройку $$$ с партнерки срубить, то ладно, а вот если чего украсть хотели, учетные данные пользователей и пр. - тут вопрос, может и в полицию заявить имеет смысл, так как сайт серьезный?
Вы случайно хоститесь не у РБК? Сегодня с утра на всех сайтах, которые расположены у них, обнаружен winnow.botnet.ff.trojans.23137.UNOFFICIAL. С утра шлют оповещения, что на сайтах вирусы.
Угу, именно там. Значит это явный косяк хостера. Причем я папку с Webalizer отдельно еще прикрыл через .htpasswd, но все равно не помогло (если, конечно, дело в нем) - возможно обращались нарямую к программе, котоая где-то там стоит в недрах РБК.
PS: если вы там же хоститесь, то наверняка найдете те же файлы, что и я. вообще хотелось бы понять, что и где нужно почистить, чтбы ликвидировать заразу.
Мне прислали список файлов, которые якобы заражены. Но, как я понимаю, ложная тревога.
У меня в основном в списке зараженных файлы из папки tmp и языковые. Очистила на всякий случай
tmp. Проверила все ноуты на вирусы и сменила пароли всюду. Хотя, понимаю, что зря. :) Но на тот момент еще не знала, что у всех фигня такая.
Утро началось недобро. На одном из сайтов такое...
Антивирусная проверка сайта шлет на мейл визги, что по адресу вида:
... /webalizer/usage_200801.html
обнаружено зло в виде:
winnow.botnet.ff.trojans.23137.UNOFFICIAL
В процессе проверки на сервере найдены "левые" файлы: index.php, cn.php, wap.php, config, system, где файл config составляет более 20 Мб. (нафига?)
В файле htaccess найдены традиционные для таких тем
RewriteCond %{HTTP_USER_AGENT} acs [NC,OR]
RewriteCond %{HTTP_USER_AGENT} alav [NC,OR]
RewriteCond %{HTTP_USER_AGENT} alca [NC,OR]
...
RewriteCond %{HTTP_ACCEPT} "text/vnd.wap.wml|application/vnd.wap.xhtml+xml" [NC,OR]
...
RewriteRule ^(.*)$ http://adresdolbodyatlov.net/?a=u2w4t2w423m254l [L,R=302]
Естественно, пришлось писать в суппорт разобраться, что за фигня. Ответа пока не пришло.
Какие будут мнения?
На первый взгляд все дело может быть в Webalizer, там дыра и тогда это явный прокол хостера. Но может я и ошибаюсь, и нужно в своих скриптах дыру поискать, больше особо негде, так как каких-то внешних форумов, CMS и пр. на этом сайте не стоит. И PHP я не пользуюсь тоже.
Более интересный вопрос - украли ли какой-то контент с сайта и пр. информацию, так как там самописные скрипты и пр.? Как это можно определить? В чем цель взлома была?
Если просто детишки балуются, чтобы лишние пару-тройку $$$ с партнерки срубить, то ладно, а вот если чего украсть хотели, учетные данные пользователей и пр. - тут вопрос, может и в полицию заявить имеет смысл, так как сайт серьезный?
Вы случайно хоститесь не у РБК? Сегодня с утра на всех сайтах, которые расположены у них, обнаружен winnow.botnet.ff.trojans.23137.UNOFFICIAL. С утра шлют оповещения, что на сайтах вирусы.
Вот и опять, пока в России здоровые люди спят, google экспериментирует. :)
Да, скрин с винды седьмой, с Мозиллы.
Мне нравится, но я бы эти стрелки поставил слева от объявления, а не справа :)
Всё вернулось на круги своя. Теперь нет никаких стрелок...
У меня вчера появился блок следующего вида. Кликать больше не стали, от синевы не избавиться, цвет стрелки заменить негда пока.
Уважаемые, кто-нибудь еще наблюдает обнуление в Я.В. в графе "внешних ссылок на страницы сайта"?
Ни одной внешней! )
Да, сегодня. Более того, еще часа 4-5 назад никаких изменений не было.
Дофильтровые позиции, надо сказать, даже улучшилиь. Но незначительно.
Вышла из под фильтра на 2 сайтах. Тематика авто. Регион Санкт-Петербург. Всё вернулось на круги своя.
Тревожно как-то. Неспроста это.
Не снимала никаких ссылок. Не разбавляла анкоры. Просто ожидала.
Питер, тематика авто на нескольких проектах печальное шевеление. Зазря порадовалась вчера. Весь вчерашний +20 обернулся сегодня -40
Мутят, крутят чего-то. Работаем дальше.