[Problème] Problème avec malware

[dede17]

Bonjour,
J'ai passé mon site www.lepecheurresponsable.com à la moulinette de securi.net. Il me signale un malware

J'ai comparé le fichier avec un neuf il est absolument identique.
J'ai rapatrié tous mes fichiers en local et les ai vérifié successivement avec ad adware, spyboot, malwarebytes et avast et rien de détecté avec aucun.
J'ai crawlprotect d'installé.
Quelqu'un a t'il une idée?
Merci par avance

[lomart]

Re : Problème avec malware

Bonjour,

Essaie de voir si tu retrouves la séquence de caractères qu'ils t'indiquent dans tes fichiers rapatriés. Utilise un outils comme Fileseek

[dede17]

Re : Problème avec malware

Maeri Iomart
Elle n'est pas dans l'index php je vais chercher dans les autres

[dede17]

Re : Problème avec malware

Bonjour du samedi,
J'ai téléchargé filesek mais j'ai un probleme, même si je mets la chaine de caractères entre guillemets (ou entre parenthèses) il me trouve les symboles séparemment ce qui fait que j'ai des milliers de lignes.
Il y t'il quelque chose que je n'ai pas compris ou mal fait?

[RobertG]

Re : Problème avec malware

Bonjour !

Il y a de grandes chances que ce soit le template que tu utilises (on ne trouve pas dnnViewstate avec beez5 sur le même site).

Je suis étonné pourtant qu'un template Joomlage soit en cause. Où as-tu récupéré ce template ?

Autre possibilité : un module qui ne s'afficherait pas sous beez5.

Je n'ai pas lu ceci sur le blog sucuri.net http://blog.sucuri.net/2012/12/websi...ss-joomla.html

[lomart]

Re : Problème avec malware

Il doit y avoir un problème d'interprétation des guillemets doubles. En cherchant uniquement une partie sans guillemets doubles.
Tu peux aussi cocher "Afficher seulement le premier résultat pour chaque fichier" pour n'avoir qu'un résultat par fichier même si la correspondance est trouvée plusieurs fois.

[RobertG]

Re : Problème avec malware

C'est du JavaScript qui ajoute du code dans le fichier affiché : est-il possible de trouver le fichier JS qui injecte cette fonction "dnnViewstate " ? (je ne m'y connais pas assez en JavaScript !)

[dede17]

Re : Problème avec malware

Je suis étonné pourtant qu'un template Joomlage soit en cause. Où as-tu récupéré ce template ?

Bonjour Robert
Je l'ai acheté chez joomlage directement je l'ai depuis le début de ce site

[RobertG]

Re : Problème avec malware

Dans la mesure où le code de la fonction disparaît en changeant de template, c'est donc probablement un module complémentaire, non affiché avec beez5 parce que la position définie n'existe pas.

As-tu essayé de retrouver le nom de la fonction dans les fichiers ? bien qu'il soit possible voire probable que ce soit du code crypté dans un fichier JS.

[lomart]

Re : Problème avec malware

Regarde si tu trouve la séquence indiquée dans ce post, par exemple ">|%3C)([^s]*s)+cript.*(<|%3E)"

Sinon d'autres infos sur une recherche Google avec dnnviewstate

[dede17]

Re : Problème avec malware

par exemple ">|%3C)([^s]*s)+cript.*(<|%3E)"

Cette séquence je l'ai trouvé dans webconfig text, mais ça ne me parait pas anormal même si je suis loin d'être un spécialiste

[dede17]

Re : Problème avec malware

As-tu essayé de retrouver le nom de la fonction dans les fichiers ? bien qu'il soit possible voire probable que ce soit du code crypté dans un fichier JS.

Fait mais rien détecté, ça commence à me prendre la tête

[dede17]

Re : Problème avec malware

Ca y est j'ai trouvé le responsable, c'est le odule Slideshow du template aston je l'a viré du site et plus de détection.
Il y a une injection ligne 566

La question que je pose aux spécialistes qu'est ce que je modifie dans ce fichier? car sans ça mon site est moins chouette. Merci par avance, je vais maintenant me coucher

[RobertG]

Re : Problème avec malware

Le plus simple est d'essayer d'utiliser un autre slideshow, il n'en manque pas.

Personnellement, j'utilise habituellement ARI Image slider, ou encore Flexslider (de Joomspirit)

[dede17]

Re : Problème avec malware

Merci Robert,
Mais ce que je pige pas c'est que dans le pack d'origine vendu avec le template le fichier est strictement le même, je viens de vérifier, est ce que par hasard ça ne serai pas un faux positif. Je ne m'en étais jamais aperçu car je n'avais jamais passé le site à sucuri net car je n'avais pas de probleme mais ça devait exister depuis le début