mhokano

Caros,

O meu site está com mesmo problema. Analisando o log do servidor, achei as seguintes entradas:

143.107.112.2 [15/May/2013:01:22:59 GET / HTTP/1.1

143.107.112.2 [15/May/2013:01:23:43 POST ///wp-login.php HTTP/1.1

143.107.112.2 [15/May/2013:01:23:45 GET //wp-admin/theme-editor.php HTTP/1.1

143.107.112.2 [15/May/2013:01:23:53 GET //wp-admin/widgets.php HTTP/1.1

143.107.112.2 [15/May/2013:01:24:09 GET //wp-admin/edit.php HTTP/1.1

143.107.112.2 [15/May/2013:01:24:30 GET / HTTP/1.1

143.107.112.2 [15/May/2013:01:24:50 GET //wp-admin/edit.php?s=CONSELHO%20NACIONAL%20DE%20JUSTI%C3%87A%20DETERMINA%20QUE%20CART%C3%93RIOS%20REALIZEM%20CASAMENTOS%20HOMOAFETIVOS HTTP/1.1

143.107.112.2 [15/May/2013:01:25:04 GET //wp-admin/edit.php?s=PROCESSOS%20DECIDIDOS%20PELO%20PRINC%C3%8DPIO%20DA%20INSIGNIFIC%C3%82NCIA%20MOVIMENTAM%20TRIBUNAL%20SUPERIOR HTTP/1.1

143.107.112.2 [15/May/2013:01:25:18 GET /wp-admin/post.php?post=14443&action=edit HTTP/1.1

Isso ocorreu várias vezes ao longo do mês e partiu sempre da mesma máquina fazendo a mesma sequencia de páginas. Trocar a senha não adianta, já fiz isso e mesmo não revelando a ninguém, o problema ocorreu. A máquina que faz o ataque pertence à USP, já entrei em contato com eles. O invasor envia este header de informação:

Mozilla/5.0 (X11; U; Linux i686; pt-BR; rv:1.9.0.15) Gecko/2009102815 Ubuntu/9.04 (jaunty) Firefox/3.0.15

Como ele usa o firefox, desconfio que seja um script abrindo o navegador e atacando várias máquinas ao mesmo tempo, ou então, uma pessoa acessando remotamente, vai saber..

Minha sugestão: Bloquear ips de acesso. Trocar a pasta wp-admin.