· atnaujinta 2026-10-07
Radus vartotojų sąraše paskyrą, kurios nekūrėte, pirmas impulsas — ją ištrinti. Tai suprantama, bet per anksti.
Ką tokia paskyra pasako
- Sukūrimo data yra apytikslis įsilaužimo laikas. Nuo jos pradedamas žurnalų tyrimas.
- El. pašto adresas dažnai pasikartoja kitose kampanijose ir padeda atpažinti naudotą įrankį.
- Paskutinis prisijungimas rodo, ar prieiga vis dar aktyvi.
Ištrynus paskyrą šie duomenys dingsta, o užpuolikas, jei jis vis dar turi kitą prieigos kelią, tiesiog susikuria naują.
Kodėl viena paskyra niekada nebūna viena
Mūsų tirtuose atvejuose svetimas administratorius beveik visada atsiranda kartu su bent vienu iš šių dalykų:
- webshell failas, leidžiantis grįžti be prisijungimo;
- pakeista
wp_optionsreikšmė, automatiškai atkurianti paskyrą; - suplanuota WordPress užduotis (cron), kuri paskyrą sukuria iš naujo;
- pridėtas viešasis SSH raktas serveryje.
Todėl paskyros pašalinimas be tyrimo dažniausiai baigiasi tuo, kad po savaitės ji grįžta. Kodėl taip nutinka, plačiau — straipsnyje apie pakartotinį užkrėtimą.