Финансовая поддержка
VPS, бесплатные дополнения и docs
Донаты оплачивают сервер и двигают бесплатные дополнения MODX и документацию.
Поддержать
[videoGallery] Видео галерея YouTube, Vimeo
mxBoard: канбан-доска для команд, людей и ИИ-агентов в MODX 3
Релиз miniShop2 ver. 4.4.1 & 4.4.2
[Решено] Обновление MODX 3.2.2 компонент FetchIt ломает сайт PHP 8.3
Плагин EnvBadge: визуальный индикатор окружения в админке MODX3
MaxNotify
MyFavorites
mxLocDoc - документация внутри админки
Редизайн сообщества
Msdiscount не устанавливается
Всего 126 102 комментария
А вот хостинг как раз Timeweb — и очень похоже, что именно у них где-то дырка. Что характерно — заблокировали молча, без всяких предупреждений о нагрузке — потом изучая график нагрузки стало понятно, что уже больше месяца этот майнер работал.
Так же рекомендую произвести поиск каким-нибудь антивирусам по популярным функциям типа base64_decode или развернуть старый бэкап — так как было найдено 3 бэкдора в разных папках сайта + админер в одной из папок, которых ранее точно не было.
Сейчас нашел по адресу /public_html/assets/components/tinymce/action.php
Аккаунт cg69669
Для него делал следующим образом:
1) В системных настройках (tinymcerte.plugins) в список плагинов редактора добавил свой myButtons
2) создал папку myButtons и файл внутри
assets/components/tinymcerte/js/vendor/tinymce/plugins/myButtons/plugin.min.js
В самом файле следующий код.
Оставил добавление двух видов, кнопку и ссылку
Как это выглядит по итогу
У timeweb появилась функция изоляции сайта, не знаю как давно, обнаружил ее недавно. по умолчанию она выключена, может включенная она поможет, если заражение пришло от соседских аккаунтов.
Читаю комменты выше и вижу что все хостятся на таймвебе. У нас тоже около 30 сайтов на таймвебе, около 30 у других хостеров. Проболемы возникают пока только на тех, кто на таймвебе.
Есть среди пострадавших те, у кого иной хостинг?
Кто то уже проводил анализ своего сайта на предмет, как именно сайт становится источником заражения? (потому что я пока тупо не успеваю, очень долго в переписке прощу, чтобы хостинг вернул доступ к директории нашего пользователя, они пишут что вернули, я вхожу по ssh но через считанные секунды мне хостинг снова меняет права на мою директорию и я снова не могу даже скачать якобы зараженные файлы сайта. И так по кругу).
В качестве рекомендаций получены следующие инструкции.
Может кому-то пригодятся, сам пока не вникал
Наши инженеры уже в курсе проблемы и собрали достаточно информации по майнеру. Паттерны выявили и сейчас ищем оптимальное решение.
Мне кажется надо вот эти модули прошерстить, оставить методом исключения парочку, потом удалить эти модули на зараженных сайтах и посмотреть будет ли возникать повторы.
Ace
Console
MIGX
MinifyX
miniShop2
mSearch2
msOptionsPrice2
pdoTools
tinyMCE Rich Text Editor
translit
clickfraud.ru/
botfaqtor.ru/
Так же советую использовать elama.ru (это не реклама, как и всё остальное) там можно защитой от скликивания пользоваться бесплатно, плюс ещё зарабатывать процент от рекламы заказчика
Что за файлы?
Были еще файлы, которые как я понял отправлял консольный запрос сервер, как мне кажется для запуска systemd, который уже циклично в течение 10 секунд проверял активирован ли майнер и если нет, то запускал его.
Но я нифига не безопатсник — это мои догадки