Історія, як зламали мої сайти.

Перевіряю трафік сайту періодично. Дивлюсь, якийсь сплеск. Думаю, от класс, більше людей до мене заходить. Але потім глянув запити, а там якийсь азіатський казино-бренд ))

Пішов перевіряти, як так сталося. Короче, для деяких сторінок (не для всього сайту), зловмисники показували казино-слоти. Їх можна було побачити, тільки якщо переходиш з гугла. Якщо іншим шляхом - все виглядає норм.

Довго розповідати не буду, лише основне:
— Консоль спочатку показала повідомлення, що в мене новий власник сайту. Причому, email приховує.
— В списку юзерів цих власників немає, якийсь глюк консолі. Вони підтвержують власність іншим шляхом.
— В консолі відправляють сторінки на індексацію, інших якихось активностей не помітив.
— Проблема була не на одному сайті, а не декількох. Всі вони лежали в сусідних папках на одному сервері.
— Всі сайти на wordpress, тобто зламали саме через wordpress старий сайт, яким вже не займався. Потім розкидали потрібні файли по всім сусідям )
— В wordpress додали нових адмінів, а сповіщення по пошті вимкнули, щоб головний адмін не дізнався.
— Плагін, який додає новий функціонал сайту, був встановлений через mu-plugins на сервері, а не через саму панель адмінки. В адмінці його не видно.
— Зламали індуси )) це видно по коментарям в файлі їх плагіну.

Знайдений файл прогнав через LLM на аналіз. Claude відмовився аналізувати на вразливості, в них така політика. Аналізував через ChatGPT, той гарно все розклав.

Окрім того, що я помітив, виявилось, що плагін збирає пароль адміна, коли той логіниться. Та робить ще деякі цікаві речі )) Все трапляється автоматично. Просто видалити плагін буде недостатньо, потрібно видаляти адмінів, змінювати паролі, видаляти з сервера файли підтверження Search Console, та шукати через який плагін зламали, щоб все це почистити.

Така цікава історія. Трафік, до речі, нормальний за декілька днів прийшов )) декілька сотен юзерів. На одному такому сайті, думаю, аффи заробляють суттєво.

Детальніше, про нещодавні вразливості Wordpress можна почитати тут
https://daan.dev/blog/wordpress/omgf-pro-exploit-breakdown/