Onderwerp: Wordpress sites worden gehackt

Oorspronkelijk geplaatst door Luana IS

Heb je die sites toevallig zelf in beheer allemaal of zijn ze van klanten? Het kan zijn dat je zelf een virus hebt en deze via je ftp client je websites infecteerd.

De klant kan de site alleen beheren via Wordpress. FTP gegevens hebben ze niet. Ik maak zelf gebruik van een Apple wat de kans op een virus al een stuk kleiner maakt.

De website met aangepaste bestanden had niet een plugin die op de exploitlijst staat. Deze had:
- Akismet
- Contact-form7 (zonder upload mogelijkheid)
- flexible-lightbox.

Misschien dat je klant (lokaal) een virus onder de leden had, waarmee inloggegevens werden doorgespeeld aan een derde partij? Hoewel ik hier persoonlijk nooit eerder van heb gehoord op het gebied van specifiek Wordpress inloggegevens, zou het me toch niets verbazen.

Oorspronkelijk geplaatst door dreamhost_nl

Misschien dat je klant (lokaal) een virus onder de leden had, waarmee inloggegevens werden doorgespeeld aan een derde partij? Hoewel ik hier persoonlijk nooit eerder van heb gehoord op het gebied van specifiek Wordpress inloggegevens, zou het me toch niets verbazen.

Dan hebben ze wel wat leukere resultaten dan een wordpress site hoor.... Dan zou ik eerder m'n mail/bank en 3rd payment processor login gegevens veilig stellen.

Hackers draaien bots en andere background spul op je PC's dmv trojans en virussen
Carders stelen je informatie dmv. trojans en fake virus scanners

@dreamhost_nl dit zou één gehackte site kunnen verklaren. Niet 30 toch?

In de ftp map zijn om 6:42:00u enkele bestanden aangepast.
In de logs (verkregen via plesk) is rond dat tijdstip geen activiteit te zien.
Ik heb de volgende plesk logs bekeken van de betreffende site:
access_log.processed
xferlog_regular.processed
Met name het feit dat de user apache is zit me dwars. Als ik bestanden upload via wordpress hebben de bestanden een andere user.

Helaas heb je als shared klant weinig toegang tot essentiele logs in deze.

Access_logs kunnen echter eventueel verklappen welke bestanden er zijn aangeroepen om 6:42:00, daar uit kan je een IP vissen en eventueel je lekke script.