Witajcie,
Od bodajże 3 miesięcy borykamy się z bardzo denerwującą infekcją na serwerze, gdzie hostujemy wiele aplikacji CMS (17x WordPress, 4x PrestaShop, 3x Joomla, 1x Kohana PHP Framework, 2x autorski CMS i 2x pure html+css). Wirus dodaje kod do plików .php (przede wszystkim indexów, ale często też innych plików, również w podkatalogach), dodaje swoje pliki php o różnych nazwach, zmienia pliki szablonów (najczęściej header.php) dodając w nagłówkach przed </head> link do szkodliwych skryptów, powoduje to wpisanie stron na blacklistę Google i wyświetlanie się alertów o szkodliwej zawartości, dodaje również swoje pliki weryfikacyjne do usług Google - Search Console, Analytics itd. oraz podmienia sitemapy i robots, co powoduje sfałszowane indeksowanie przez wyszukiwarki - jako tytuł i opis pokazywany jest ciąg chińskich znaków, a pod tytułem w wyszukiwarce dodany jest dopisek "Ta witryna mogła paść ofiarą ataku hackerów".
Pomimo naszych usilnych starań sytuacja cały czas się powtarza - już gdy zobaczyliśmy pierwsze objawy podjęliśmy działania, które okazały się bardzo krótkoterminowe i po jakimś czasie okazały się bezskuteczne. Mianowicie:
- przeskanowaliśmy cały serwer i usunęliśmy wykryte przez antywirusa linuxpl szkodliwe fragmenty kodu
- przeskanowaliśmy komputery z których się łączyliśmy i usunęliśmy malware (przy pomocy Windows Defender i Malwarebytes Anti-Malware)
- wszystkie systemy CMS, wtyczki oraz motywy zostały zaktualizowane do najnowszych wersji
- hasła do cmsów, baz danych oraz ftp zostały zmienione
- ręcznie usuwaliśmy złośliwy kod i podejrzane pliki, co zajęło naprawdę masę czasu
- skanowaliśmy każdą domenę skanerem od Sucuri i eliminowaliśmy problemy (w przypadku malware - złośliwy kod, w przypadku pozostania na blackliście dodanie do Search Console i wnioskowanie o przeindeksowanie, oczywiście prośby były pozytywnie rozpatrzone i strony zostały zdjęte z czarnej listy - do czasu ponownego zaindeksowania po ponownym zainfekowaniu)
Czynności te powtarzamy regularnie co jakiś czas (około 2 tygodnie), jak widać długoterminowo nie przynosi to żadnych efektów i infekcja powraca (a właściwie cały czas gdzieś jest). Nie możemy zlokalizować źródła tych problemów, nie mamy już nawet pomysłu na podjęcie dalszych działań.
Serwer to WPRO na LinuxPL.com, niestety support nie może pomóc nam w jakiś bardziej intensywny sposób niż standardowy.
W związku z tą sytuacją piszemy tego posta - jakie pomysły na jak najmniej inwazyjne i czasochłonne rozwiązanie tego kłopotu proponujecie? Na serwerze hostowane są oprócz naszych serwisów również strony klientów i nie możemy w kółko tylko zwalczać objawów, lecz musimy finalnie wyeliminować przyczyny.
Czy macie jakieś sugestie?
Pozdrawiamy serdecznie