SSH grep -Erlf mwscan.txt /path/to/magento

[ThinClientQ]

Goedemiddag Tweakers!

Ik ben beheerder van een kleine Magento website.
Nu heb ik deze recentelijk niet op tijd geupdate; met als gevolg ongewenste advertenties op de website.
Een hacker heeft een backdoor geïnstalleerd op de achterkant van de website.

Geen grote paniek, maar ik ben al enige tijd bezig om dit op te lossen.

Ik heb deze applicatie gevonden, een Magento Malware Scanner.
https://github.com/gwillem/magento-malware-scanner

Het eerste commando loopt perfect; wget git.io/mwscan.txt
Er komt correct een bestand genaamd mwscan.txt

Alleen hier heb ik mijn twijfels over, er gebeurt niks; grep -Erlf mwscan.txt /path/to/magento

Naar mijn idee moet het eindresultaat zijn; grep -Erlf mwscan.txt /var/www/vhosts/domeinnaam.nl/httpdocs/

Ik heb alle mappen één voor één gecontroleerd met tabjes.

Iemand een idee waar ik moet zoeken? Ben al vanaf 8 uur bezig.
Een klein duwtje is al voldoende, bedankt!

[DanielG]

Het kan heel goed dat je niets ziet, het enige wat dit doet is kijken of er ergens in jou Magento website bestanden de bekende malware teksten uit mwscan.txt terug komen. Als je niets terug ziet dan is de backdoor in jou Magento website anders dat degene die bekend zijn bij de makers van magento-malware-scanner. Het aanpassen van 1 teken in de backdoor kan er al voor zorgen dat je hem niet op deze manier vindt.

[ThinClientQ]

DanielG schreef op maandag 14 augustus 2017 @ 16:23:
Het kan heel goed dat je niets ziet, het enige wat dit doet is kijken of er ergens in jou Magento website bestanden de bekende malware teksten uit mwscan.txt terug komen. Als je niets terug ziet dan is de backdoor in jou Magento website anders dat degene die bekend zijn bij de makers van magento-malware-scanner. Het aanpassen van 1 teken in de backdoor kan er al voor zorgen dat je hem niet op deze manier vindt.

Op de afbeelding van onderstaande website staat dat hij elke bestand gaat scannen, maar dit lijkt niet te gebeuren.

https://github.com/gwillem/magento-malware-scanner

[DJVG]

Hij laat alleen de bestanden zien die matchen, oftewel geïnfecteerd zijn (als ik het goed begrijp). Als je dus niet geïnfecteerd bent zal grep nergens op matchen en dus niks laten zien.

Edit: Dat text bestand is ook geen applicatie maar gewoon een verzameling regexen om bekende infecties te detecteren.

[ Voor 24% gewijzigd door DJVG op 14-08-2017 16:34 ]

[u_nix_we_all]

ThinClientQ schreef op maandag 14 augustus 2017 @ 16:30:
[...]


Op de afbeelding van onderstaande website staat dat hij elke bestand gaat scannen, maar dit lijkt niet te gebeuren.

https://github.com/gwillem/magento-malware-scanner

Volgens mij laat die afbeelding zien hoe de scan er uit ziet als er malware wordt gevonden. Als een bestand clean is, laat hij niets zien, je ziet een lijst van geinfecteerde bestanden.

Dat kan in jouw geval 2 dingen betekenen:
- je bestanden zijn clean volgens die scanner (mogelijk heb je een probleem wat die scanner niet herkent)
- je scant op de verkeerde lokatie

[DanielG]

ik zou persoonlijk heel de machine als verloren beschouwen en opnieuw beginnen met een schone instantie ergens anders. Je weet niet hoe diep de malware/backdoor zit waardoor het verwijderen van een paar bestanden in je magento instalatie de aanvaller(s) niet tegenhoudt.

[DexterDee]

DanielG schreef op maandag 14 augustus 2017 @ 16:50:
ik zou persoonlijk heel de machine als verloren beschouwen en opnieuw beginnen met een schone instantie ergens anders. Je weet niet hoe diep de malware/backdoor zit waardoor het verwijderen van een paar bestanden in je magento instalatie de aanvaller(s) niet tegenhoudt.

Dit dus, de "infectie" hoeft helemaal niet in je PHP bestanden te zitten. Advertenties kun je ook via de webserver injecteren of via talloze andere methoden die die Magento malware scanner niet kan zien.