Hakerskie potyczki

Witajcie, dzisiaj chciałbym opisać moja potyczkę ze złośliwym kodem, który zagościł na wszystkich (kilkudziesięciu) stronach hostowanych na moim serwerze. Otóż co jakiś czas po kliknięciu na którykolwiek link, czy to wewnętrzny, czy zewnętrzny, użytkownik był przekierowywany na stronę reklamiarza i to w dodatku złośliwego, wyłudzającego numer telefonu. Biada temu, który dał się nabrać, gdyż może otrzymać rachunek na kwotę kilkuset zł. 

Pierwszym etapem była zmiana wszystkich haseł do tych domen, zarówno tych wordpressa, jak i ftp oraz do baz MYSQL

  

Niestety to nic nie dało. W module sieciowym sprawdziłem kolejność wykonywania się skryptów JS.

Zlokalizowałem skrypt odpalający kod reklamiarza. Skrypt hostowany był na zewnętrznym serwerze (normalnie po prostu bym go skasował). Pozostawało więc namierzyć fragment kodu odwołujący się do zdalnej lokalizacji.

Okazało się, że zainfekowany był plugin odpowiedzialny za bezpieczeństwo na stronie (!), czyli sweetcaptcha.