Mislim da ovaj jpg nema veze sa napadom, već da je false positive. A kod je rdf embedovan u jpg, mislim da to može biti sasvim regularno, kao metapodaci.

Šta je sa web-server logom? Ima li nešto interesantno vezano za access log i error log? (Pretpostavljam da koristiš apache)

Napad može biti preko WP, ali može biti i upadom u samu bazu ili preko drugog CMS-a. Ako imaš još koju bazu, proveri u kakvom je stanju. Imaš li još neki sajt na tom serveru? Napadi vrlo često idu preko plaginova, koji nisu zakrpljeni ili ažurirani.

Log mysql je /var/log/mysql.log ili nešto slično. Remote pristup bazi valjda mora da se eksplicitno omogući, ne znam kako je tu.

Na serveru ima par desetina sajtova. Svi su redovno ažurirani. Ostali sajtovi su OK, nema nikakvih problema, samo ovaj.
Na dnevnom nivou proveravam i ažuriram sve teme, pluginove i wp core. To radim lako jer koristim pleskovu ekstenziju WP toolkit.
server mi je takođe up to date kompletno.

Plesk funkcioniše tako da su svi "webspaces" odvojeni, sa posebnim userima. Svaka baza je odvojena i ima svoj user koji samo nad tom bazom ima privilegije.
Tako da ako mi je neki drugi sajt kompromitovan, ne verujem da bi ikako mogao da utiče na ovaj hakovani.


kombinacija je apache sa nginx kao proxy

Malopre sam pogledao logove i bilo je warninga vezano samo za IP od google bot.
Ali sad vidim nekoliko adresa sa lokacijama iz hrvatske, crne gore i iz srbije.

errori su da pokusavaju da ucitaju neki cache fajl koji ne postoji. No normalno je ponasanje, jer i ja kad kliknem na sajt isto sa moje IP adrese se vidi isti error.
Verovatno w3 total cache koji sam koristio mi pravi problem


a upozorenja