servidor infectado por malware respawing de arquivos [duplicado]

Question

Portanto, tenho um servidor de clientes que está infectado por malware. Basicamente, qualquer arquivo index.php no servidor foi infectado, assim como header.php, function.php. A infecção parece ser principalmente sites wordpress, embora outros tipos de sites residam na conta também.

O hack parece gerar algum tipo de "chave" em um arquivo chamado "..". Esse arquivo, apesar de deletado, retorna dentro de alguns minutos. (provavelmente 10 ou 15 minutos). Eu fui em frente e limpei todos os arquivos infectados que encontrei com alguns scripts.

Aqui está a minha pergunta, estou supondo que se eu puder encontrar o (s) arquivo (s) que estão reaparecendo com o arquivo ".." no servidor, estou pensando que ele me levará à origem da infecção também. Mas o que eu gostaria de saber é, como posso realmente rastrear isso?

Eu estava pensando em talvez seguir os logs no SSH ou algo assim para ver se isso me mostraria algo, mas não tenho certeza. Eu sei que gostaria de encontrar o ponto de infecção e removê-lo antes que eu tenha que fazer uma reclina completa do servidor. No momento - eu sou apenas um bebê sentado respawned ".." arquivos.

Alguma idéia de como eu posso descobrir isso?

    

Answer 1

Para acompanhar as modificações das pastas, você pode ativar a auditoria nos locais com problemas para registrar a atividade.

Clique com o botão direito do mouse nas propriedades na pasta do problema Aba de segurança avançado auditoria adicione todos e crie arquivos.

Isso deve ajudá-lo a rastrear o problema. Os registros serão registrados no log de segurança do Windows.

Você pode querer fazer mais varredura de vírus, etc, no modo de segurança, usando msconfig e desabilitando todos os serviços não-microsoft. Em seguida, tente executar o Microsoft Malicious Software Removal Tool após uma verificação completa de vírus e talvez queira ativar o firewall do Windows como parte de sua proteção para combater esse problema.