Внимание: массовый взлом сайтов на Wordpress

[files 2774]

Вниманию владельцев сайтов на Wordpress!

 

Сейчас имеет место быть массовый взлом сайтов. Как правило, на сайтах заменяется содержимое последней записи/новости на подпись хакера. Выглядит это примерно так:


Явление имеет массовый характер. Началось неделю назад и сильно прогрессирует. Достаточно загуглить результаты взлома:

KurDish HaCk3rS WaS Here +kurdlinux007@gmail.com
Hacked By Fallag Gassrini +Gassbot@gmail.com
Hacked By XwoLfTn – Tunisian Hacker

Просьба ко всем, кто стал жертвой взлома, откликнуться, для изучения причин.
Уязвимость совершенно новая и о ней пока ничего неизвестно!

[Воланд 5016]

Скриншот поправь 

[files 2774]

Надо бы где-то или как-то приложить список проверенных (или рекомендуемых) фотообменников. Вечные проблемы с размещением фотографии.

[olegunique 265]

проверил один сайт на вордпресе и по какой то непонятной причине началась переадресация на другой мой сайт на этом же хостинге

ночью еще было все ок

Это может быть связано как то? .htaccess не изменился

[files 2774]

проверил один сайт на вордпресе и по какой то непонятной причине началась переадресация на другой мой сайт на этом же хостинге

ночью еще было все ок

Это может быть связано как то? .htaccess не изменился

Применительно к данной истории нет. Скорее всего, что-то у вас на хостинге.

[podvodnic 921]

Как правило, на сайтах заменяется содержимое последней записи/новости на подпись хакера.

 

А кроме последних записей, где ещё пакостит этот гадёныш?

[kuzovbmw 563]

читал сегодня про нее пришло на имейл от секюре тиам. думаю тут все записит от того что в Вашем wp работает. В моем лично вычещино почти все, коментов нет, конфиг перенесен, htaccess защищен, регистрации нету, админка спрятана, файлы закрыты, права настроены, стоит анивирус + айболитом часто сканирую. думаю не коснется, версия wp последняя самая стоит

[files 2774]

Кто такие "секюре тиам"? И что они обнаружили?

[kuzovbmw 563]

https://blog.sucuri.net/2017/02/wordpress-rest-api-vulnerability-abused-in-defacement-campaigns.html?utm_campaign=Vulnerability+Alerts&utm_source=hs_email&utm_medium=email&utm_content=42082812&_hsenc=p2ANqtz--Ogvy3y2BDJOmW3d2jLA63wMwnW75lLhtMm9VTD2XxWJYh0ddgtu8yGtiElgNKaIlAf8dlyYXd_aTp_MwDPNwXYYMTCQ&_hsmi=42082812

[campusboy 912]

Надо бы где-то или как-то приложить список проверенных (или рекомендуемых) фотообменников. Вечные проблемы с размещением фотографии.

Самое удобное кидать к себе сообщением вКонтакте и брать потом ссылку. Они там вечно потом хранятся :-)

[TraderGroup 73]

Вчера в Гугл вебмастер пришло сообщение:

 

Мы обнаружили, что на Вашем сайте используется Wordpress4.7.0 or 4.7.1– старая версия Wordpress. Устаревшее или неисправное ПО может стать причиной взлома или установки вредоносного кода. Поэтому мы рекомендуем Вам обновить ПО.

 

Хотя версия WP самая свежая.

[Angelina 82]

Хорошо что я не на Wordpress 

[hip12 104]

Хорошо что я не на Wordpress 

http://forum-wec.com/index.php?showtopic=290631. Взломали Битрикс. Никто не в безопасности.

[gensokolsky 37]

Я от WP отказался более 5 лет тому. Joomla намного безопаснее и проще защищаемая. Хотя от взлома не защищен никто.

[kuzovbmw 563]

Я от WP отказался более 5 лет тому. Joomla намного безопаснее и проще защищаемая. Хотя от взлома не защищен никто.

я от всего отказывают и сделал новый на php надежнее не бывает, просто перенести осталось

[seo-net 2343]

wp - отличный движок, просто многие его не умеют готовить

[campusboy 912]

Вот ещё новость. В целом, кто на свежей версии 4.7.2, то может не беспокоиться.

[sairon 386]

я от всего отказывают и сделал новый на php надежнее не бывает, просто перенести осталось

его тоже могут взломать. Вы лучше сделайте на html+css. И в сеть не выкладывайте.

[k-park 807]

его тоже могут взломать. Вы лучше сделайте на html+css. И в сеть не выкладывайте.

Есть у меня сайт, но сейчас в сейфе на диске лежит

[vituson 592]

Я от WP отказался более 5 лет тому. Joomla намного безопаснее и проще защищаемая. Хотя от взлома не защищен никто.

5 лет не пользуетесь и судите о безопасности?

 

Что за бред я прочитал.

[santa91 5]

Вчера тоже 1 сайт пострадал (хотя на том же сервере было и других 8 сайтов на wp).

Пострадала только последняя запись в блоге.

 

Логи сервера (порядка 1000 таких запросов)

 

ip: 5.145.175.80   POST /xmlrpc.php HTTP/1.0" 200 64699 "-" "-

 

Был задет еще 1 файл - readme.html (оказался пустым и сменены права на нем).

 

 

По итогам откатил беккап, обновился до последней версии и в .htaccess прописал такое:

 

<Files xmlrpc.php>

    Order Deny,Allow

    Deny from all

</Files>

 

У кого еще есть мысли, как можно защитится в будущем?

[dead_serg 21]

Вчера в Гугл вебмастер пришло сообщение:

 

Мы обнаружили, что на Вашем сайте используется Wordpress4.7.0 or 4.7.1– старая версия Wordpress. Устаревшее или неисправное ПО может стать причиной взлома или установки вредоносного кода. Поэтому мы рекомендуем Вам обновить ПО.

 

Хотя версия WP самая свежая.

Аналогичное сообщение получил, хоть ВП 4.7.2

[files 2774]

Спасибо откликнувшимся (в частности kuzovbmw и campusboy)

Проблема описанной ситуации на стороне WordPress REST API - функционал появился в ВП начиная с 4.7.0

 

Что нужно сделать?

 

- Обновиться к версии 4.7.2 (где заплатка уже стоит)

- У кого нет возможности обновится, нужно в  .htaccess после строчки:

 

 

RewriteEngine On

 

 

вставить:

 

 

RewriteRule /wp/v2/posts/ - [L]

[vituson 592]

Подтверждаю, проверил свои сайты на WP, там, где поленился на 4.7.2 перейти, там переписали последние страницы (не на всех сайтах), на одном даже 2 последние записи переписали. И некоторые страницы уже переиндексировались. Видимо, их еще пингуют. Ни на одном сайте, где уже стоит версия 4.7.2, такого не было.

[Юкка Гриценко 37]

files, спасибо за тему! Мой сайт попал под раздачу - вылечили оперативно)