23-10-2026 12:52

Hallo allemaal,

Op 23 oktober ging een van onze WordPress-sites plat met een HTTP 500-fout. Bij onderzoek bleken twee van onze hostingaccounts, op server web0154 en web0128, besmet te zijn met malware. In het ene account al sinds begin oktober, in het andere vermoedelijk al veel langer. Alles is inmiddels opgeschoond alleen kan ik geen ticket registreren bij Vimexx (alleen maar voorgedefineerde issues), vandaar via dit kanaal.

Ik deel de kenmerken, zodat je zelf kunt controleren of jouw sites ook geraakt zijn:

  • - In index.php een extra regel met new class('compress.zlib://' ...) en een vreemd geschreven iNCLuDe_OncE.

  • - Een nep-CSS-bestand in wp-admin/css/colors/ocean/ (bij ons colors-vendor-rtl.min.css). Dat is ingepakte PHP die code ophaalt van 69.30.199.165.

  • - Bestanden als ljgisovlvujxtrlotanwCfm.php, zsune1.php, massmipn.php, wp-l0gin.php, massmcm.php, jp.php of ext.php in de hoofdmap of in wp-admin/maint/.

  • - Een verborgen map .19137ba78cb3074221792c425ade11c0system/ in .well-known, maar ook buiten je websites, in de hoofdmap van je account.

  • - Een .htaccess (in de hoofdmap en in honderden submappen) met <FilesMatch "\.(py|exe|php)$"> Deny from all, gevolgd door een lijst met alleen bovenstaande bestandsnamen die wél mogen.

  • - Een mu-plugin (bij ons hostinger-cache.php in wp-content/mu-plugins/) die index.php binnen een paar seconden opnieuw besmet als je hem opschoont.

  • - Een robots.txt met sitemap-1.xml t/m sitemap-19.xml (SEO-spam).

Let op: omdat alle domeinen in één account onder dezelfde gebruiker draaien, verspreidt dit zich over al je domeinen in dat account. Kijk dus niet alleen naar de site die problemen geeft. Ruim ook de mu-plugin op, anders komt het binnen seconden terug, en vervang al je wachtwoorden (DirectAdmin, FTP, database, WordPress).

Herkent iemand dit, of is iemand anders op web0154 of web0128 ook getroffen?


Hoor het graag en een prettig weekend ;)