Admin heeft 1000 mails verstuurd, website redirect naar malware op mobiel!

[Jozefsu]

Ik heb een aantal problemen met mijn Direct admin server, ik heb vanmorgen het volgende bericht ontvangen in het Message System:

The admin account has just finished sending 1000 emails.
There could be a spammer, the account could be compromised, or just sending more emails than usual.

After some processing of the /etc/virtual/usage/admin.bytes file, it was found that the highest sender was admin@server.*domein*.nl, at 1001 emails.

The top authenticated user was admin, at 1001 emails.
This accounts for 100% of the emails. The higher the value, the more likely this is the source of the emails.
An authenticated username is the user and password value used at smtp time to authenticate with exim for delivery.

The most common path that the messages were sent from is /home/admin/domains/*domein*.nl/public_html/wp-includes/js/jcrop, at 295 emails (29%).
The path value may only be of use if it's pointing to that of a User's home directory.
If the path is a system path, it likely means the email was sent through smtp rather than using a script.

The top sending script was /home/admin/domains/*domein*.nl/public_html/wp-includes/js/jcrop/xktzhfrp.php(1189) : runtime-created function(1) : eval()'d code(1) : eval()'d code:1, at 335 emails, (33%).



Ik kom er nu dus ook achter dat mijn websites doorsturen naar malware sites, dit gebeurt trouwens alleen via de telefoon op de mobiele versies..

Ik heb mijn admin wachtwoord veranderd en opnieuw het wp-includes mapje geupload naar mijn directory , helaas gebeurt het nog steeds. Ik neem aan dat het met elkaar te maken heeft?

Hoe kan ik dit oplossen? Zit er iets in de databases van mijn websites?

Alvast bedankt

Groeten Jos

[The-BosS]

Hoe kan ik dit oplossen? Zit er iets in de databases van mijn websites?

Om te beginnen websites niet onder de admin user draaien, maar onder een aparte gebruiker ;). Voor de rest wat tools runnen zoals rkhunter, lynis, maldet, clamav om te zien of er geen exploits op de server/website staan, kortom het gebruikelijke dat een server admin zou moeten doen.

[Jozefsu]

Beste,

Bedankt voor de tip, hoe kan ik het beste de websites indelen? eerst een reseller aanmaken en ze daaronder plaatsen?

Ik heb nu een scan aan staan van Maldet, eens kijken wat er uit komt.

voordat ik de scan heb aangezet heb ik eerst een dag oudere backup teruggezet van de gehele server, als ik in het exim.log kijk zie ik dat er geen mails meer worden verstuurd...

Kan de redirect naar spam opgeslagen worden als cache / cookie in de mobiele browsers? De Maldet scan levert denk ik niks op aangezien hij al bijna alles gescand heeft en er geen hits uit komen.

Bedankt,

Jos

[Jozefsu]

Er is een toch een hit gekomen bij de scan:

een Base64 inject code in een header.php van een bepaald theme, ik heb de code verwijderd..

[Mark17]

Een goede indicatie dat er een probleem kan zijn is het als zowel base64_decode als eval in hetzelfde bestand zitten. Dat is voor ons in ieder geval reden om (als we het niet verwachten) nog eens goed naar het bestand te kijken.

[Ramon Fincken]

ik zou heel WordPress Core deleten, nieuwe Core uploaden. dan blijft de site werken.
Maar ook een sucuri (de betaalde!) scan laten lopen, want dit is dus een hack.
Los daarvan is het niet slim om 1000 mails per dag toe te staan en wp-includes modificeerbaar te maken.

[vDong]

Bedankt voor de tip, hoe kan ik het beste de websites indelen? eerst een reseller aanmaken en ze daaronder plaatsen?

Sterker nog, naast een reseller aanmaken, elke losse website onder een eigen user draaien. Daardoor kan je direct zien welke website zich misdraagt. Tevens is het een goede manier om besmetting van andere websites te voorkomen, ze draaien immers niet onder dezelfde systeemuser.

Onder admin is sowieso een slecht idee, die heeft traditioneel veel te veel rechten. (Hoeft niet, maar zo wordt het default ingericht)