Финансовая поддержка
VPS, бесплатные дополнения и docs
Донаты оплачивают сервер и двигают бесплатные дополнения MODX и документацию.
Поддержать
mxBoard: канбан-доска для команд, людей и ИИ-агентов в MODX 3
[Решено] Обновление MODX 3.2.2 компонент FetchIt ломает сайт PHP 8.3
Плагин EnvBadge: визуальный индикатор окружения в админке MODX3
[videoGallery] Видео галерея YouTube, Vimeo
Релиз miniShop2 ver. 4.4.1 & 4.4.2
MaxNotify
MyFavorites
mxLocDoc - документация внутри админки
Редизайн сообщества
Msdiscount не устанавливается
Всего 126 107 комментариев
Сайт был версии 2.7.2
Зараженные директории:
- assets/components/formit/js/mgr/widgets/migrate.panel.php
- assets/components/migx/js/mgr/widgets/grids/migxgallery.grid.php
- assets/components/pdotools/js/pdopage.min.php
Сам код во всех файлах одинаковыйНу и да как уже выше писали на уровень выше корня сайта были созданы директории:
.local, .config — в которых и была пакасть.
Компоненты обновил, систему обновил, дрянь удалил.
3й День пока все ок
Но там ведь нет возможности указать периодичность запусков заданий. Только можно указать точное время запуска.
При такой структуре Scheduler'а, для достижения периодичности выполнения нужно будет реализовать логику самоперепланирования внутри скриптов, а первый запуск придется сделать вручную. Это как-то не очень удобно не находите? и не очень надежно. Если вы знаете в каком компоненте есть реализация нормальной работы с этим планировщиком напишите. я гляну, вдруг что-то не так понимаю.
А вот хостинг как раз Timeweb — и очень похоже, что именно у них где-то дырка. Что характерно — заблокировали молча, без всяких предупреждений о нагрузке — потом изучая график нагрузки стало понятно, что уже больше месяца этот майнер работал.
Так же рекомендую произвести поиск каким-нибудь антивирусам по популярным функциям типа base64_decode или развернуть старый бэкап — так как было найдено 3 бэкдора в разных папках сайта + админер в одной из папок, которых ранее точно не было.
Сейчас нашел по адресу /public_html/assets/components/tinymce/action.php
Аккаунт cg69669
Для него делал следующим образом:
1) В системных настройках (tinymcerte.plugins) в список плагинов редактора добавил свой myButtons
2) создал папку myButtons и файл внутри
assets/components/tinymcerte/js/vendor/tinymce/plugins/myButtons/plugin.min.js
В самом файле следующий код.
Оставил добавление двух видов, кнопку и ссылку
Как это выглядит по итогу
У timeweb появилась функция изоляции сайта, не знаю как давно, обнаружил ее недавно. по умолчанию она выключена, может включенная она поможет, если заражение пришло от соседских аккаунтов.
Читаю комменты выше и вижу что все хостятся на таймвебе. У нас тоже около 30 сайтов на таймвебе, около 30 у других хостеров. Проболемы возникают пока только на тех, кто на таймвебе.
Есть среди пострадавших те, у кого иной хостинг?
Кто то уже проводил анализ своего сайта на предмет, как именно сайт становится источником заражения? (потому что я пока тупо не успеваю, очень долго в переписке прощу, чтобы хостинг вернул доступ к директории нашего пользователя, они пишут что вернули, я вхожу по ssh но через считанные секунды мне хостинг снова меняет права на мою директорию и я снова не могу даже скачать якобы зараженные файлы сайта. И так по кругу).
В качестве рекомендаций получены следующие инструкции.
Может кому-то пригодятся, сам пока не вникал
Наши инженеры уже в курсе проблемы и собрали достаточно информации по майнеру. Паттерны выявили и сейчас ищем оптимальное решение.