На сервере работают непонятные процессы, хостинг сказал 'почистите' — с чего начать?

у меня в прошлом году была та же история залезли через эксплойт плагина wordpress. тогда я сделал запрос через wpdb, в таблице wp_users был добавлен админский аккаунт... удалил того админа но в файловой системе все равно остался шелл-код это был .jpg файл а на деле исполняемый... хостинг сказал что всё конец...

Чтобы найти веб-шелл, выполни такой запрос через find: find /var/www -name '*.php' -newermt '3 months ago' | xargs file | grep 'PHP script'. В логах доступа отфильтруй POST-запросы, особенно эндпоинты загрузки файлов. Для сканирования уязвимостей можно запустить WPScan, но сначала критично изолировать сеть. Проверь в базе данных в таблице wp_options значения siteurl и home URL, возможно, их изменили.

Ого ситуация паршивая. Ну, ты кажешься сильно напуганным. Первое, что реально нужно сделать — это сделать бэкап потом по одному отключать плагины и темы... Зайди в WP admin проверь пользователей. Могли создать нового админа... Потом поставь плагин безопасности, обнови WP... Если через какое-то время проблема повторится, тогда уже пиши в поддержку хостинга.

Подумай об этом как о расследовании кибербезопасности: шаг 1) отключи сетевой трафик, 2) сделай снапшот системы, 3) поиск уязвимостей (веб-шелл, пользователи базы данных, cron-задачи), 4) определение вектора входа (какой плагин, какой аккаунт, когда), 5) удаление и восстановление. В WordPress обычно это из-за отсутствия обновлений плагинов или слабого пароля. На прошлой неделе на одном сайте была похожая ситуация, пароль от базы данных был захардкожен в wp-config.php, phpmyadmin был открыт...

Мне показалось странным, хостинг сразу тебе сообщает о вредоносном коде? Значит они сами это засекли на своих системах. Если ты можешь зайти по SSH, значит, у тебя еще есть доступ... В базу данных тоже заходил смотрел? То есть эксплойт все еще активен, или они просто забыли удалить шелл? Когда ты последний раз делал бэкап? Если хочешь пойти путем восстановления, можешь ли ты восстановить из старого бэкапа?

о нет взлом wordpress.. и это очень плохо. но ты упрости: просто откатись на последний бэкап... ну восстанови MySQL и файлы. потом обнови wp полностью... так будет чисто. и пусть хостинг тоже проверит, напиши им.

Спасибо это именно то, что я искал. Забытые тестовые среды становятся входом в систему чаще, чем продакшн.

Исправьте, если я ошибаюсь.

Хочу предупредить. Больше всего времени у нас уходило на то, что было непонятно, кто принимает решения.

Если на один вопрос вы получаете три разных ответа, вопрос задан неправильно. Удачи.

Сохранил.

Прочитал этот ответ и выдохнул: значит, проблема не только у меня. Процесс, по которому не ведется учет, не улучшается, потому что вы не знаете, что именно улучшать.

На этом всё извините если затянул.

Вы правы. Если путь уведомления длинный, уведомление не приходит; а не пришедшее уведомление — это поздно обнаруженный инцидент.

Я бы пошел этим путем.

Ответ выше точно передал суть вопроса. Пытаться сделать это в одиночку — самый дорогой путь.

Конечно, если ваша ситуация отличается, всё меняется.

Мои сомнения развеялись, спасибо.

Не знал об этом.

Именно так, и при этом об этом мало кто знает. Если ругать за ложные тревоги, никто больше не будет присылать уведомления.

Вы правы, я сам проходил через это. Если включена двухфакторная аутентификация, украденный пароль бесполезен.

Пишите, если есть вопросы, отвечу по мере возможности.

У меня нет опыта в на сервере вирус, поэтому и спрашиваю. Изменение платежных данных никогда не подтверждается через тот же канал.

Интересно, есть ли те, кто делает иначе.

Вы правы. Люди защищают не процесс, а привычку. Сопротивление идет оттуда.

Если напишете результат здесь, это поможет и другим.