Cont de hosting compromis: web-shell, fișiere cu nume aleatorii și releu de spam
Un caz de compromitere la nivel de cont de hosting, nu doar un site — cu efect asupra tuturor domeniilor de pe cont.
Simptomele
Hostingul fusese suspendat pentru „activitate malițioasă", emailurile ajungeau în spam, iar în cPanel → Email → Track Delivery apăreau mii de mesaje trimise — serverul era folosit ca releu de spam.
Ce am găsit
Într-un fals folder „PHPMailer" și prin wp-content, o grămadă de fișiere .php cu nume aleatorii (de genul eyfxgkhw.php, kvetuxmj.php), toate cu același timestamp — semnătura clasică de hacker. Unul dintre ele era un web-shell complet, cu eval(base64_decode(...)) la început, care ascundea un întreg toolkit:
- execuție de comenzi pe server;
- file manager (browse / edit / upload / delete orice fișier);
- executor de cod PHP;
- reverse shell înapoi către atacator;
- încercări de citire
/etc/passwdși/etc/shadow.
Cu asta, atacatorul avea control total pe tot contul, nu pe un singur site.
Cum am curățat
- am identificat fișierele malițioase după timestamp și tipar și le-am șters (inclusiv folderul fals „PHPMailer");
- am verificat toate site-urile de pe cont — compromiterea rareori se oprește la unul;
- am rotit toate parolele: cPanel, FTP, WordPress, baze de date, conturi de email;
- am oprit releul de spam și am deblocat contul cu hostingul.
Lecția
Când găsești un web-shell, presupune că tot contul e compromis, nu doar site-ul. Un .php cu nume aleatoriu într-un folder de uploads sau într-un fals „PHPMailer" e mereu suspect — n-are ce căuta acolo.