Minha experiência frustrante com a BanaHosting: problemas desde o primeiro dia e um VPS "comprometido"

3. O pior: arquivo malicioso em servidor recém-entregue​

• Finalmente, consegui criar o banco de dados e instalei um WordPress limpo, baixado diretamente da fonte oficial (wordpress.org).
• No dia seguinte, revisei os arquivos do site e encontrei um arquivo suspeito chamado good.php. Ao abri-lo, descobri que era um script malicioso.
• Vocês podem ver o arquivo nas capturas de tela anexadas. Claramente, não fui eu que o enviei, nem expus credenciais ou configurações.

Respostas do suporte​

• Trocar as senhas.
• Habilitar um firewall.

• Meu dispositivo está limpo e escaneado.
• Enviei um arquivo compactado original do WordPress.

1. Enviei o arquivo ZIP para o servidor.
2. Descompactei no próprio servidor.
3. Nesse momento, esbarrei no problema do MySQL mal configurado, que relatei e que demoraram várias horas para resolver.
4. Como demoraram muito, decidi ir dormir.
5. Na manhã seguinte, revisei o ticket, confirmei que o problema do banco de dados estava resolvido e consegui criar um banco de dados sem problemas.
6. No entanto, quando fui configurar o WordPress, encontrei o arquivo good.php, um script malicioso na pasta raiz do site.

Sem reembolso, mas sem confiança​

• Solicitei o cancelamento e o reembolso devido à gravidade do problema. A resposta foi que os VPS não têm reembolso porque "sua configuração exige tempo e esforço".
• Eu entendo, mas um servidor inseguro desde o dia 1 não é aceitável.

• VPS anterior: 8 vCPU, 24 GB de RAM, 400 GB SSD.
• Novo VPS: 8 vCPU, 32 GB de RAM, 400 GB NVMe.

Conclusão​

Anexos (provas claras):​

1. Captura do arquivo malicioso good.php e do seu conteúdo.
2. Captura do diretório raiz onde o arquivo apareceu.

Nefalem disse:

Quero compartilhar com a comunidade minha experiência recente com a BanaHosting e o seu serviço de VPS, para que outros usuários estejam informados antes de tomar uma decisão. Contratei um VPS Ultra-13 com a intenção de migrar sites importantes e, em menos de 3 dias, os problemas começaram a se acumular. O pior: um arquivo malicioso apareceu em uma instalação limpa do WordPress.

O que aconteceu:

1. Problemas iniciais: licença do Webuzo

Contratei o VPS com o Webuzo Multi-User incluído. No entanto, ao tentar criar contas, recebi a mensagem:​

"You need a Multi User License to use this feature"​

Abri um ticket pedindo uma solução. Para ser justo, nesse caso resolveram em menos de uma hora. Apesar de rápido, isso não deveria acontecer com uma configuração recém-entregue.​

2. Problema com o MySQL root

Depois do primeiro problema, tentei criar um banco de dados para instalar o WordPress e recebi o erro:​

"MYSQL ERROR: Access denied for user 'root'@'localhost' (using password: YES)"​

Tive que abrir um segundo ticket, pois a senha do MySQL root estava incorreta.​

Desta vez, a solução demorou várias horas. Perdi uma noite inteira esperando por algo que deveria funcionar desde o primeiro minuto.​

​

3. O pior: arquivo malicioso em servidor recém-entregue​

• Finalmente, consegui criar o banco de dados e instalei um WordPress limpo, baixado diretamente da fonte oficial (wordpress.org).
• No dia seguinte, revisei os arquivos do site e encontrei um arquivo suspeito chamado good.php. Ao abri-lo, descobri que era um script malicioso.
• Vocês podem ver o arquivo nas capturas de tela anexadas. Claramente, não fui eu que o enviei, nem expus credenciais ou configurações.

Aqui surge a grande pergunta:
Como é possível que um VPS recém-entregue, com uma instalação limpa e oficial do WordPress, acabe com um arquivo malicioso?

​

Respostas do suporte​

Ao relatar o problema, a única solução que ofereceram foi:

• Trocar as senhas.
• Habilitar um firewall.

Além disso, me disseram que o serviço deles é "limpo" e sugeriram que a vulnerabilidade vem do meu dispositivo local.

• Meu dispositivo está limpo e escaneado.
• Enviei um arquivo compactado original do WordPress.

Sendo objetivo:
Como podem culpar meu dispositivo local quando o servidor é novo, os arquivos são oficiais e a única coisa que enviei foi o arquivo "wordpress-6.7.1-es_ES.zip", baixado diretamente do site oficial do WordPress (https://es.wordpress.org/)?

O processo foi simples e claro:

1. Enviei o arquivo ZIP para o servidor.
2. Descompactei no próprio servidor.
3. Nesse momento, esbarrei no problema do MySQL mal configurado, que relatei e que demoraram várias horas para resolver.
4. Como demoraram muito, decidi ir dormir.
5. Na manhã seguinte, revisei o ticket, confirmei que o problema do banco de dados estava resolvido e consegui criar um banco de dados sem problemas.
6. No entanto, quando fui configurar o WordPress, encontrei o arquivo good.php, um script malicioso na pasta raiz do site.

Como explicam isso? Um servidor novo, arquivos oficiais e uma configuração básica. O arquivo apareceu sem nenhuma intervenção minha e depois de problemas anteriores no mesmo servidor.

---

Sem reembolso, mas sem confiança​

• Solicitei o cancelamento e o reembolso devido à gravidade do problema. A resposta foi que os VPS não têm reembolso porque "sua configuração exige tempo e esforço".
• Eu entendo, mas um servidor inseguro desde o dia 1 não é aceitável.

Perdi 130 dólares, mas o mais irônico é que, no meio dessa experiência frustrante, encontrei outro provedor que me ofereceu um VPS mais potente (com mais RAM e armazenamento NVMe) e por um preço 60% mais barato. A configuração foi rápida, limpa e segura, e tudo funcionou sem problemas desde o início, sem precisar abrir tickets nem perder tempo com soluções básicas.

Para comparar objetivamente:

• VPS anterior: 8 vCPU, 24 GB de RAM, 400 GB SSD.
• Novo VPS: 8 vCPU, 32 GB de RAM, 400 GB NVMe.

E o preço: $120 contra 47,99 €. A diferença é abissal tanto em custo quanto em qualidade do serviço.

Isso demonstra que é possível encontrar um serviço de qualidade superior, mais seguro e mais econômico, algo que infelizmente não obtive com o VPS que contratei inicialmente.

---

Conclusão​

Não se trata do dinheiro perdido, mas da confiança. Como eu poderia subir sites importantes para um servidor que, mal foi entregue, apresenta vulnerabilidades inexplicáveis?

Não posso recomendar o serviço de VPS da BanaHosting depois dessa experiência. Os problemas de configuração iniciais, a falta de respostas claras e o aparecimento de malware em uma instalação limpa são sinais claros de falta de controle e segurança.

---

Anexos (provas claras):​

1. Captura do arquivo malicioso good.php e do seu conteúdo.
2. Captura do diretório raiz onde o arquivo apareceu.

---

Se vocês estão avaliando contratar um VPS na BanaHosting, pensem duas vezes. Não vale a pena arriscar a segurança dos seus projetos. Convido a comunidade a compartilhar suas experiências e sugerir serviços de VPS mais confiáveis.

Clique para expandir...

Daniel Muñoz disse:

Contrate um profissional para configurar o servidor e ver se os problemas se resolvem.

Porque jogar 130$ fora assim é complicado.

Clique para expandir...

banahosting.com disse:

É outro assunto, mas você está fazendo acusações sobre um produto não gerenciado, sobre algo que está em seu poder, não no nosso.

É você quem instala seus programas e a segurança em um VPS não gerenciado, em que, supostamente, você protege, configura e tem o controle de tudo.

Em um servidor não gerenciado, o cliente é o responsável por tudo nele, não a empresa do VPS, que não está encarregada desses aspectos em um VPS não gerenciado, administrado pelo cliente.

Clique para expandir...

banahosting.com disse:

Não é correto.

O Webuzo tem um botão em que basta clicar para atualizar a licença, e foi isso que foi feito, e foi feito para você no ticket.
Quanto ao MySQL, ele foi entregue limpo e completo. O servidor, o erro do MySQL foi corrigido para você mesmo o servidor não sendo gerenciado.

Sobre o arquivo malicioso, isso está sob o seu controle, não o nosso. É você quem cria a conta, a senha, a instalação e os passos básicos de segurança, e isso recai sobre você, não sobre nós.

Todas as ações eram soluções de um administrador básico de VPS, e você recebeu assistência mesmo o seu servidor não sendo gerenciado.

Abraços!

Clique para expandir...

1. Webuzo: O problema não foi só "atualizar a licença". Ao criar contas, recebi o erro de falta de licença (anexo a prova), o que indica que ela não foi configurada corretamente desde o início.
2. MySQL: Também não é normal que um VPS seja entregue com erros básicos como a senha root mal configurada.

1. Webuzo: O problema não foi só "atualizar a licença". Ao criar contas, recebi o erro de falta de licença (anexo a prova), o que indica que ela não foi configurada corretamente desde o início.

1. MySQL: Também não é normal que um VPS seja entregue com erros básicos como a senha root mal configurada.

banahosting.com disse:

1. Webuzo: O problema não foi só "atualizar a licença". Ao criar contas, recebi o erro de falta de licença (anexo a prova), o que indica que ela não foi configurada corretamente desde o início.

Obviamente, se não detecta a licença, é por isso que existe o botão de atualizar; ao atualizar, ela foi reconhecida imediatamente.

1. MySQL: Também não é normal que um VPS seja entregue com erros básicos como a senha root mal configurada.

Também é um erro que o próprio erro indicava, e o Webuzo tem a opção de redefinir essa senha.

Portanto, um administrador básico de VPS resolve isso de imediato.

Para as duas coisas você abriu ticket, e as duas foram resolvidas para você.

Sobre o arquivo, isso está sob o seu controle; como indicado antes, é você quem cria a conta e a segurança dela, não nós.

Clique para expandir...

1. Webuzo: Embora "atualizar a licença" tenha sido a solução, isso não deveria ser necessário em um VPS recém-entregue com uma configuração que supostamente estava pronta.
2. MySQL: Redefinir a senha também não é um "erro meu", mas uma configuração inicial básica que se esperava funcional desde o início.

Nefalem disse:

Obrigado pela sua resposta. Entendo a sua posição, mas não posso concordar.

1. Webuzo: Embora "atualizar a licença" tenha sido a solução, isso não deveria ser necessário em um VPS recém-entregue com uma configuração que supostamente estava pronta.
2. MySQL: Redefinir a senha também não é um "erro meu", mas uma configuração inicial básica que se esperava funcional desde o início.

Sobre o arquivo malicioso, reitero que enviei uma instalação limpa e oficial do WordPress sem intervenção adicional. Não faz sentido que algo assim aconteça em um servidor novo.

Agradeço a assistência recebida, mas esses detalhes básicos corroem a confiança no serviço. Prefiro encerrar o assunto aqui.

Abraços.

Clique para expandir...

Nefalem disse:

Obrigado pela sugestão, mas o problema não foi falta de conhecimento. Um VPS deve ser entregue pronto e sem erros básicos. Encontrei outro provedor de VPS que oferece proteção extra com antivírus para malware incluído desde o início. Sei que jogar 130 dólares fora é complicado, mas prefiro proteger bem os meus projetos. Realmente perdi a confiança desde o princípio. Abraços.

Clique para expandir...