Buenas, resulta que tengo que revisar unas webs hechas en wordpress, y nada más entrar en sus archivos en muchas de ellas encuentro estos archivos, uno de ellos o los dos. Se llamana kontlo.php
y king.php.php
El contenido es el siguinete:
<html>
<head>
<title>Hacked ?? IDBTE4M ?? WHO CARE</title>
<meta http-equiv="refresh" content="0; url=https://facebook.com/fp.idbte4m/">
<link href="http://fonts.googleapis.com/css?family=Fauna+One" rel="stylesheet" type="text/css">
<link rel="shortcut icon" href="http://www.riwilepriware.com/idb.jpg"></link>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8"/>
<meta name="keywords" content="kefiex404">
<meta HTTP-EQUIV="Content-Type" content="text/html; charset=iso-8859-1"/>
<meta name="description" content="kefiex404">
<meta content="hacked" name="description"/>
<meta content="go.id,defacer,hacked,hacker,news,idbte4m,never die" name="keywords"/>
<meta content="INDEX, FOLLOW" name="ROBOTS"/>
<meta content="riwilepriware.com" name="author"/>
<body bgcolor="#000" marginwidth="0" marginheight="0" style="background: black no-repeat center center fixed; -webkit-background-size: cover; -moz-background-size: cover; -o-background-size: cover; background-size:cover;" onload="(function(a){window.CloudFlare && window.CloudFlare.push(function(b){b(["cloudflare/rocket"],function(c){c.push(function(){(function(){type_text()}).call(a)})})})})(this);" bottommargin="0" rightmargin="0" leftmargin="0" topmargin="0">
<style>body{font-family:"courier new";font-size:80%;color:#28FE14;}.xBody{width:660px;height:450px;position:absolute;z-index:9;}.ssh{display:none;z-index:9;}.sshBox{height:300px;border:4px solid white;-moz-border-radius:4px;-webkit-border-radius:4px;-o-border-radius:4x;-khtml-border-radius:4px;border-radius:4px;z-index:9;}.sshHead{margin-bottom:5px;color:black;font-weight:bold;background-color:white;height:20px;z-index:9;}.greenBox{padding-left:3px;position:absolute;height:22px;border:1px solid #28FE14;z-index:9;}.picz{position:absolute;width:500px;height:80%;display:none;right:2px;top:2px;}#mg img:hover{-webkit-animation:tremer 0.5s linear infinite;-moz-animation:tremer 0.5s linear infinite;-o-animation:tremer 0.5s linear infinite;animation:tremer 0.5s linear infinite;}.neon{<!--coleur lootz--> color:blue;text-shadow:0 0 5px red,0 0 10px red,0 0 30px orange,0 0 45px yellow,0 0 60px red;}.like{border:4px double yellow;box-shadow:0px 2px 20px white;border-radius:10px;padding:9px;height:310px;}#mg img{border:4px double yellow;border-radius:10px;opacity:0.75;-moz-opacity:0.75;filter:alpha(opacity=75);}</style>
</head>
<body bgcolor="black">
<center>
<body onselectstart="return false" ondragstart="return false" oncontextmenu="return false" onLoad="(function(a){window.CloudFlare && window.CloudFlare.push(function(b){b(["cloudflare/rocket"],function(c){c.push(function(){(function(){writetext()}).call(a)})})})})(this);">
<center>
<font face="iceland" color="red">
<center>
<div id="mg">
<center><a title="KEFIEX404"> <p class="style5"><div align="center"><table width="100%"border="0 "><tr><td align="left"><img src="http://zonehmirrors.org/defaced/2016/11/11/alignlifewauwatosa.com/kefiex.yu.tl/files/bnx.png" height="150" width="250"/ </td><br />
<td align="center"> <img src="http://omahunduh.com/omahunduh.com.jpg" alt="Omah Unduh" height="150" width="250"></td><br />
<td align="right"><img src="http://www.riwilepriware.com/idb.jpg" height="150" width="250"/ ></td></tr></table></
</div></p></center>
<br>
<td width="90%"><font color="aqua" size="4">
-=| WE NOT ONLY TE4M BUT WE ARE FAMILY |=-<br>
<br><td width="90%"><font color="aqua" size="4">
DEFACER TERSAKITI TEAM | HACKER SAKIT HATI | PASUKAN BERANI MATI | BOCAH NEWBIE | MADLEETS <br> IDCA | CIREBON CYBER TEAM | MALANG CYBER ARMY | BALIKITA TEAM | SANJUNGAN JIWA <br> KONTOL MIBER | JEMBUT NGRIWUL | PEJUH MUNCRAT | DADI ANAK
<BR><br>
<font color="red">-= WE ARE THE TROUBLE MAKER =- </font><br>
<marquee><code><font color="blue" face="consolas" size="4">
<p align="left" class="style2"><font face="Trajan Pro" size="4" color="RED" style="text-shadow: 2px 0px .2em aqua, -2px 2px .2em Darkcyan, -2px -2px .2em black"><b><font color="yellow">
~ ./KEFIEX404 ~ KONSLET ~ MANIAK KASUR ~ MR.K ~ EL-RO ~ ANTONIO HsH ~ TUAN GALAU ~ DEDEMIT ID ~ NO SCRIPT 404 ~ K3C0T ~ SIM0D ~ Anton Kill ~ LITLE H4XORZ ~ ANDRIF PZF ~ Syntax-Error ~ FadliDotID_007 ~ SANEKALA ~ YUDHI DM ~ TUSBOLLED~ ALL INDOXPLOIT CREW ~ SHOR7CUT ~ GRETZ IDBTE4M ~ GOENK TEA ~ ./HDV ~ ADRIAN XDA ~ DIDOT ~ POETRA D`M ~ JACK D`RIPPER ~
DAY IDBTE4M ~ DIMAZ BN ~ DEMONK ~ KHUNAY ~ MR-AQ ~ HENDRA D`N ~ PETAPA GENIT ~ KODRAT ~ MUZZAM ~ MAULANA ~ SIRIN ~ ~ X-Wu7z ~ Tuan_galau ~ GrenXPaRTa ~ x"1n73ct ~ m@db100d ~ Hacker Sakit Hati ~ ./$amndan404 ~ ./wi.na ~ Neneng Juhairiah ~ Mr_Oxygen ~ ./coco ~ H3ri.ID ~ Ice Cream ~ newbie patah hati ~ Naughty_r00tz ~ DarkWireless ~ ./czw_07 ~ ./TanpaNama404 ~ xCut10n ~ Kucing Galau ~ ./anjirGBX ~ Dicky Injector ~ jepry_vuln ~ Shut_Down404 ~ Mr.404_NotFound ~ Mr.LittleHaxor ~ Mr.Ghostteror_404 ~ Mr.Dork ~ Mr.aji.192 ~ L4W_CyberDKSH404.Not_Found ~ ozlok ~ Bloc_Anon/404 ~ R3DD3V1L ~ mr.cookie_302 ~ @HF404_
~ S4bun ~ WokTampan ~ Ozi L0calhost ~ isal dot id ~ pys404 ~ tomhawk ~ Localhost ~ Dhammashoka1337 ~ Dreamless ~ Ambara Cyber Army ~ CarLi ~ /AwKarin ~ ./Kandani ~ s4bun ~ ./BlaDDzeRR ~ bL@cKID ~ Mr.Vendetta_404 ~ ./Kandasx1337 ~ ./94nt3n9 ~ SkumFuk-45 ~ LukeWalker ~ R1W1l 3PR1W4R3 ~ D9ncX ~ AND YOU ~ </font></code></marquee>
<br>
<strong>-+ IDBTE4M AREA GALAU RAMARIMARI +-</strong>
</td>
</center>
<br> <br></span></div>
Y el contenido del segundo es este:
<!Doctype html>
<html>
<body>
<center><font color=green size =13><html>
<head><title>
HaCkEd By RxR HaCkEr
</title>
<body>
<body bgcolor="black">
<center>
</center>
<div dir="ltr" align="center">
<img src="http://qph.ec.quoracdn.net/main-qimg-7427d1057b67b1e6f59900b9453dbb81-c"><br><font color =red size=5><br >HaCkEd By RxR HaCkEr <br> Skype:a.789a<br>icq:728196843 <br><font color =white size=5>
<iframe width="0%" height="0" scrolling="no" frameborder="no" src="https://w.soundcloud.com/player/?url=http%3A%2F%2Fapi.soundcloud.com%2Ftracks%2F101962726&color=ff6600&auto_play=true&show_artwork=true"></iframe>
<a href="http://facebook.com/RxRHaCk">Contact Me </a>
</body>
</html>
Esto me lo encuentro en casi todas las webs del servidor, cómo tengo que luchar contra esto? Es decir para que no vuelva a pasar. Los plugins de seguridad de WordPress no valen para nada, pues no detectan estos archivos, al menos no el primero, el segundo sí que lo detectan a veces.
Instalé ClamAv
en mi servidor para escanearlo, halló 9 archivos y los eliminé, pero imagino que estos archivos no los detecta pues no so "virus" en realidad.
Supongo que toca eliminarlos uno por uno.
Pero la pregunta es:
¿Cómo evito que vuelva a pasar?