Проверить, взломан ли сайт: проблема только в плагине или кто-то уже внутри?

Редирект на мобильных и его отсутствие на десктопе — это классический метод разделения по браузеру. Злоумышленники прописывают условие, исключающее IP-адреса, с которых заходят в админку, или стандартные десктопные браузеры. Откройте эмулятор мобильного устройства в консоли разработчика браузера и посмотрите во вкладке сети первые приходящие редиректы — имя файла, который перенаправляет, будет прямо там.

когда плагин ломается, сайт даёт белый экран или сыпет ошибками а сам по себе 1500 писем не отправляет. очевидно что серрвер сейчас используют как спам-сервер... честно я бы сразу сменил ftp-пароль и пароль от базы не откладывая.

Когда на нашем сайте запчастей в Штутгарте случилась похожая утечка, мы заметили поздно, и хостинг-аккаунт полностью заблокировали. Местный специалист по безопасности запросил 650 евро за чистку, а на восстановление позиций в Google ушло 3 месяца, потому что домен попал в спам-чёрные списки. Советую принять срочные меры, пока хостинг не закрыл аккаунт.

У вас есть SSH-доступ к панели сервера или вы пользуетесь только шаред-панелью? И ещё: когда то обновление плагина прервалось, вы вручную меняли права на файлы? Эти две детали критичны, чтобы понять как попали в файловую систему.

Сделайте прямо сейчас эти три шага: 1) Через FTP обновите секретные ключи в конфиг-файле и сбросьте все активные сессии. 2) Поищите в папке загрузок файлы с расширением PHP и найденное не удаляйте а переименуйте и отправьте в карантин. 3) Очистите исходящую очередь почты в панели хостинга и немедленно смените почтовые пароли.

Прежде чем сразу прыгать к худшему сценарию стоит заглянуть и в логи плагина. В некоторых плагинах форм, когда спам-боты злоупотребляют чекбоксом подтверждения, он может создавать записи каждую секунду и слать уведомления одно за другим. Но подозрение на мобильный редирект всё равно очень высокое, возможно, две разные поломки совпали одновременно.

В прошлом году у нас было похожее. Клиенты звонили и говорили, что на сайте всплывает непристойная реклама, мы сначала не поверили, потому что на офисных компьютерах всё было чисто. Оказалось редирект поставили только для тех, кто заходит с мобильного через Google, а если ввести адрес напрямую, он не срабатывал. Они добрались даже до таблиц базы данных мы два дня чистили.

На немецком рынке в таких случаях самый большой риск — это обязательства по законодательству о защите данных. Если был получен доступ к базе клиентов или адреса клиентов использовались в исходящих письмах, может возникнуть обязанность юридического уведомления. Прежде чем паниковать, сохраните копию логов доступа к серверу, начинайте чистку, не удаляя доказательства.

Мне тоже интересно. Спешка в решениях оборачивается исправлениями через полгода.

Ошибка, сделанная на стороне проверка сайта на взлом обычно исправима но дорого. Если напишете результат здесь, это поможет и другим.

У меня было наоборот, поэтому и пишу. Когда пытаешься изменить всё сразу, ничего не приживается.

вы правы, я сам проходил через это и в общем большая часть потерь времени копится на задачах ожидающих согласования.

я бы пошшел этим путем.

У этого подхода есть цена, о которой молчат. Ошибка, сделанная на стороне проверка сайта на взлом, обычно исправима, но дорого.

Это мое мнение, не утверждаю, что оно единственно верное.

Буду отстаивать обратное, не обижайтесь. Если ругать за ложные тревоги, никто больше не будет присылать уведомления.

Надеюсь, это будет полезно.

Есть момент, который я не понял. Пытаться сделать это в одиночку — самый дорогой путь.

Если на один вопрос вы получаете три разных ответа вопрос задан неправильно. Если напишете результат здесь, это поможет и другим.

вы правы.

Обсуждение размылось давайте структурируем. Если ругать за ложные тревоги никто больше не будет присылать уведомления.

Меры, принятые без инвентаризации, оставляют открытыми двери, о которых вы не знаете.

У нас так же. При принятии решений записывайте и худший сценарий, а не только лучший.

Удачи.