Через мой сайт майнят?!

InstantCMS 2.X

Взлом или вирус

#1 30 сентября 2017 в 00:45
Друзья, срочный вопрос и большая проблема.
Примерно со вчерашнего дня 29.09.2017 пользователи моего сайта (http://litclubbs.ru/) начали замечать, что у них жестко грузится ЦП. Именно при открытии нашего сайта. То есть 20 окон, вк, ютуб и прочей ерунды, почти не загружают процессор, но стоит открыть сайт litclubbs.ru/ — загрузка ЦП на 100%.
Вы сами можете в этом убедиться, если пройдете по адресу с отключенным adblock.


Начали разбираться и вот что выяснили
Наш сайт заставляет майнить пользователей через их компьютеры. Вот какие скрипты обнаружены на сайте.
Как они могли туда попасть? От какого-то компонента? И самое главное, как их убрать?

Обратился к нашему системному администратору, на что получил ответ, что скорее виной всему какой-то компонент или виджет.
Я очень в этом сомневаюсь. ЦП загружен даже когда я нахожусь в админ панели.
Ну хорошо, я отключил все компоненты, и ВСЕ виджеты. Однако ситуация не поменялась. Полумертвый остов сайта все равно продолжает загружать ЦП на 100%.
Также наблюдатели подсказали, что дело именно в библиотеках. "именно скрипт майнинг вживлен в библиотеку"

Сейчас я не представляю, почему так случилось и самое важное, как это исправить? Кто-нибудь сталкивался с данной ситуацией?
Возможно потребуются какие-нибудь логи или что-то еще, напишите, что нужно, я запрошу и системного администратора и приложу.
Все скрины на всякий приложил в аттаче
Прикрепленный файл
HI0MSO1gvdM_ek6nu.jpg 126 Кб
#2 30 сентября 2017 в 01:46
@litclubbs, ваш хостинг скомпроментирован (может быть и самим хостером). Тот, кто имеет доступ к вашим файлам сайта изменил файл litclubbs.ru/templates/default/js/jquery.js и вероятно мог изменить еще что-то. Это сделано со стороны сервера, сам движок не имеет доступа на правку файлов, если вы конечно не поставили указанному файлу доступ для всех.
Варианты:
— Сменить все пароли к серверу
— Обратиться к хостеру за детализацией логов, чтобы понять кто и когда изменил указанный файл.

Лечение.
Заменить указанный файл из дистрибутива InstantCMS.
#3 30 сентября 2017 в 01:52


@litclubbs, ваш хостинг скомпроментирован (может быть и самим хостером). Тот, кто имеет доступ к вашим файлам сайта изменил файл litclubbs.ru/templates/default/js/jquery.js и вероятно мог изменить еще что-то. Это сделано со стороны сервера, сам движок не имеет доступа на правку файлов, если вы конечно не поставили указанному файлу доступ для всех.
Варианты:
— Сменить все пароли к серверу
— Обратиться к хостеру за детализацией логов, чтобы понять кто и когда изменил указанный файл.

Лечение.
Заменить указанный файл из дистрибутива InstantCMS.

Fuze

Сердечно вас благодарю. Передал информацию администратору. По итогу обязательно отпишусь.
#4 30 сентября 2017 в 10:38
Люди совсем голову потеряли с этими криптовалютами.
Разве такой способ майнинга может принести какую то значимую прибыль?
#5 30 сентября 2017 в 10:40


Люди совсем голову потеряли с этими криптовалютами.
Разве такой способ майнинга может принести какую то значимую прибыль?

coolmazau

Изучал по этому поводу статьи. Все говорят, что такой способ приносит копейки. Но люди всегда хотят ничего не делать и зарабатывать. Потому эта зараза процветает
#6 30 сентября 2017 в 10:46



Люди совсем голову потеряли с этими криптовалютами.
Разве такой способ майнинга может принести какую то значимую прибыль?

coolmazau

Изучал по этому поводу статьи. Все говорят, что такой способ приносит копейки. Но люди всегда хотят ничего не делать и зарабатывать. Потому эта зараза процветает

@litclubbs
Интересно, а мобильные устройства этот скрипт тоже задействует для майнинга?
#7 30 сентября 2017 в 11:20


Интересно, а мобильные устройства этот скрипт тоже задействует для майнинга?

Затрудняюсь проверить нагрузку ЦП на смартфоне.
#8 30 сентября 2017 в 11:33
@litclubbs, а что до сих пор файл то не заменили? Это дело двух секунд.
#9 30 сентября 2017 в 11:36


@litclubbs, а что до сих пор файл то не заменили? Это дело двух секунд.

Fuze
Увы, в этом плане я не компетентен. Жду когда откликнется сисадмин
#10 30 сентября 2017 в 12:33
ЦП оптустило. Все работает. Спасибо вам огромное.
Остальным владельцам сайтов рекомендую тоже быть начеку. В сентябре прошла настоящая волна подобной заразы.
Вы не можете отвечать в этой теме.
Войдите или зарегистрируйтесь, чтобы писать на форуме.
Используя этот сайт, вы соглашаетесь с тем, что мы используем файлы cookie.