Наш сайт на WordPress взломали или плагин сбоит, как понять, что внутри чужой?

Клиенты это видят, а вы нет, потому что там стоит фильтрация по User-Agent и Referer. Вредоносный php-скрипт показывает прямой трафик в чистом виде, а вот тех, кто пришел из поисковиков или с внешних сайтов, уводит налево. Проверьте .htaccess в корне и index.php. Наверняка в самом верху увидите спрятанные куски кода с eval, base64_decode или инклюдами внешних файлов.

Чтобы навести порядок и не затереть логи взлома, действуйте так: 1) Срочно слейте через панель хостинга чистые access.log за последние 30 дней себе на комп. 2) Сделайте полный дамп БД через phpMyAdmin. 3) Посмотрите в таблице wp_users дату создания левого аккаунта. 4) Отфильтруйте access-логи по этой дате и времени, чтобы отследить, на какой именно PHP-файл прилетел POST-запрос с эксплойтом.

Проходили точно такое же в прошлом году в нашем магазине автозапчастей в Ганновере. Прогер пять дней вешал нам лапшу на уши, что это просто кэш полетел. В итоге Google влепил сайту плашку с предупреждением о безопасности, и наш поток заказов на 4.000 EUR в неделю мгновенно обнулился. Пришлось нанимать спецов по безопасности, отдали 850 EUR за чистку, но чтобы снять санкции поисковика и вернуть оборот, ушло полтора месяца. Не тяните время.

Байка вашего разработчика про то, что «обновление плагина поломало базу» — полная ерунда. Кривой плагин не создает сам по себе левых админов в БД и не прописывает сторонние ключи в сниппеты Google. Либо он воткнул вам плагин с вареза/помойки, либо просто прикрывает свой косяк и не хочет признавать дыру. Зовите независимого спеца на аудит.

Самое первое что надо сделать прямо сейчас — закрыть сайт на техобслуживание. Если людей редиректит на этапе чекаута, у них могут банально воровать данные карт. Ковырять файлы на живом продакшене — только подставлять клиентов. Ограничьте в панели хостинга доступ к сайту только по вашему офисному IP и полностью перекройте внешний трафик.

зайдите по фтп в папку uploads и пробейте поиск по .php файлам прямо сейчас. там кроме картинок и пдф ваще ничего быть не может. честно если найдете — сразу сносите и заккиньте туда htaccess с запретом на выполнение php. иначе щас все почистите, а завтра утром сайт опять станет зомби.

А какой у вас хостинг? Обычный виртуальный (shared) или отдельный VPS? Если на одном аккаунте крутятся несколько сайтов или забытые тестовые поддомены, вас могли ломануть через старый заброшенный сайт по соседству. В логах нет подозрительных переходов между директориями?

Раз у вас идут редиректы с платежной страницы, есть риск компрометации персональных данных и номеров карт клиентов. По немецкому законодательству о защите данных при утечке вы обязаны уведомить надзорные органы в течение 72 часов. Советую относиться к этому не просто как к техническому сбою, а учитывать юридические риски и сохранить все системные логи по правилам сбора цифровых доказательств.

Спасибо за ваш пост.

Эта тема в архиве.

Вы правы.

Позвольте подвести итог сказанному выше. Решения, работающие в малом масштабе, рушатся при росте, я узнал это слишком поздно.

Если я правильно понял, вы имеете в виду следующее: Две недели ведения заметок дают лучший результат, чем шестимесячные прогнозы.

Без измерений мы всегда приходим к одному и тому же. Если напишете результат здесь, это поможет и другим.

не знал об этом. если путь увеомления длинный, уведомление не приходит; а не пришедшее уведомление — это поздно обнаруженный инцидент.

Абсолютно. Если добавить к этому: Забытые тестовые среды становятся входом в систему чаще, чем продакшн.

Исправьте, если я ошибаюсь.

Расскажу, как это делается на практике. Если включена двухфакторная аутентификация, украденный пароль бесполезен.

Спешка в решениях оборачивается исправлениями через полгода. Пишите, если есть вопросы, отвечу по мере возможности.

Краткое резюме для новичков: Любой пункт, не зафиксированный письменно, в будущем обе стороны будут помнить по-разному.

Конечно, если ваша ситуация отличается, всё меняется.

Здесь есть ловушка не могу промолчать. Пытаться сделать это в одиночку — самый дорогой путь.

Прежде чем принимать решение посмотрите, какие данные у вас есть. На этом всё, извините если затянул.