Di tulisan Berburu Malware di Server Linux saya membagikan perintah manual untuk mencari halaman slot dan judi yang disisipkan ke website. Masalahnya, cara manual baru dilakukan setelah ada laporan. Kali ini kita otomatiskan: server memindai dirinya sendiri dan melapor ke Telegram, mirip dengan tulisan saya tentang logging PHP ke Telegram.
Kenapa situs .go.id dan .ac.id jadi sasaran?
Situs pemerintah dan kampus punya reputasi domain yang tinggi di mata mesin pencari. Pelaku menyisipkan halaman atau script lewat celah seperti script injection, lalu menumpang reputasi itu untuk menaikkan peringkat situs judi mereka. Banyak di antaranya adalah situs lama yang sudah tidak dirawat.
Script pemindai
Simpan sebagai /root/scan-judi.sh, lalu isi token bot dan chat ID Anda.
Jadwalkan dengan cron
Jalankan setiap 6 jam:
0 */6 * * * /bin/bash /root/scan-judi.sh
Jangan lupa cek cloaking
Sebagian malware hanya menampilkan konten judi kepada crawler mesin pencari, sehingga admin tidak pernah melihatnya di browser. Coba akses dengan user agent Googlebot:
curl -s -A "Googlebot" https://domain-anda.ac.id/ | grep -iE "slot|gacor"
Script ini bukan pengganti pembersihan menyeluruh, tetapi cukup untuk memastikan Anda yang pertama tahu, bukan pengunjung atau mesin pencari.
