Site infecté.

**cavo789** · 20/04/2015, 14h16

Re : Site infecté.

Bonjour

SI tu as un backup récent (non infecté), le plus simple est de récupérer ton dernier backup.

Si tu n'en as pas... bonne chance : soit tu t'y connais soit tu ne t'y connais pas. Désolé d'être aussi "direct et basique" mais c'est le cas. En effet, tu as des fichiers qui sont purement des virus ==> tu peux les supprimer sans regret. Mais tu as aussi des fichiers qui étaient légitmes; ceux de Joomla, ceux d'extensions que tu as installé et qui ont été "parasité" càd dont le code a été modifié par le virus qui est venu injecter du code malsain.

Là, si tu dois les nettoyer, c'est à la main. Il faut ouvrir chaque fichier, comprendre dans quel cas tu es (delete ou cleaning) et prendre la bonne action.

Bonne chasse...

**garnut** · 20/04/2015, 14h38

Re : Site infecté.

Envoyé par cavo789 Voir le message

Bonjour

SI tu as un backup récent (non infecté), le plus simple est de récupérer ton dernier backup.

Si tu n'en as pas... bonne chance : soit tu t'y connais soit tu ne t'y connais pas. Désolé d'être aussi "direct et basique" mais c'est le cas. En effet, tu as des fichiers qui sont purement des virus ==> tu peux les supprimer sans regret. Mais tu as aussi des fichiers qui étaient légitmes; ceux de Joomla, ceux d'extensions que tu as installé et qui ont été "parasité" càd dont le code a été modifié par le virus qui est venu injecter du code malsain.

Là, si tu dois les nettoyer, c'est à la main. Il faut ouvrir chaque fichier, comprendre dans quel cas tu es (delete ou cleaning) et prendre la bonne action.

Bonne chasse...

Merde pas vrai!! J'y avais pensé à cette réponse, mais je ne voulais pas l'entendre. Bon, pour ce qui est des sauvegardes, aucune est bonne puisqu'elles ont été faites à partir du site contaminé. Bon, maintenant que j'ai la liste des fichiers contaminés, je dois les remplacer un par un? Selon ton expérience, crois-tu que une fois terminé le problème sera résolu? Ou bien c'est un script caché qui va recommencer à corrompre le site?

Merci.

**cavo789** · 20/04/2015, 14h49

Re : Site infecté.

Si tu as des sauvegardes d'avant l'attaque, tu peux en restaurer une non ?

Pour la liste, désolé d'assombrir le tableau mais il est possible / probable que ton hébergeur n'a pas communiqué une liste complète. La semaine passée j'ai nettoyé le site d'un gars qui a vu son site pro coupé durant 20 jours : son hébergeur lui disant "Tel fichier est vérolé"; lui supprimant le fichier et demandant une réévaluation et l'hébergeur "Non, désolé, il y a encore tel fichier"... Après vingt jours de coupure et des mails type ping-pong, le gars a cessé d'attendre de son hébergeur une liste complète.

Celle que tu as reçu semble toutefois déjà longue; probable donc que tu ais reçu une complète...

Note que lorssque tu auras supprimé le hack, ben, il te faudra savoir quoi faire pour que cela ne recommence pas : ton Joomla était-il à jour, tes extensions l'étaient-elle, as-tu un admin sécurisé (pas "admin/123456"), etc.

Vérifie aussi la liste de tes super admin; tu les connais tous ?

Ce que tu vois (la liste des fichiers), c'est le résultat du hack. Si hack il y a eu, faut en comprendre aussi l'origine et fermer toutes les portes.

Bon travail ;-)

**garnut** · 20/04/2015, 15h08

Re : Site infecté.

Envoyé par cavo789 Voir le message

Si tu as des sauvegardes d'avant l'attaque, tu peux en restaurer une non ?

Pour la liste, désolé d'assombrir le tableau mais il est possible / probable que ton hébergeur n'a pas communiqué une liste complète. La semaine passée j'ai nettoyé le site d'un gars qui a vu son site pro coupé durant 20 jours : son hébergeur lui disant "Tel fichier est vérolé"; lui supprimant le fichier et demandant une réévaluation et l'hébergeur "Non, désolé, il y a encore tel fichier"... Après vingt jours de coupure et des mails type ping-pong, le gars a cessé d'attendre de son hébergeur une liste complète.

Celle que tu as reçu semble toutefois déjà longue; probable donc que tu ais reçu une complète...

Note que lorssque tu auras supprimé le hack, ben, il te faudra savoir quoi faire pour que cela ne recommence pas : ton Joomla était-il à jour, tes extensions l'étaient-elle, as-tu un admin sécurisé (pas "admin/123456"), etc.

Vérifie aussi la liste de tes super admin; tu les connais tous ?

Ce que tu vois (la liste des fichiers), c'est le résultat du hack. Si hack il y a eu, faut en comprendre aussi l'origine et fermer toutes les portes.

Bon travail ;-)

Je ne prendrai aucune chance avec mes copies de sauvegardes. Je vais télécharger plutôt une copie de sauvegarde, par la suite la décompresser dans un dossier et l'analyser avec mon anti-virus(Eset Smart security). Une fois ceci terminé je remplacerai les fichiers corrompus. Quant penses-tu?

**cavo789** · 20/04/2015, 18h48

Re : Site infecté.

Je pense qu'il faut le faire; tu verras que ton antivirus va très probablement trouver des fichiers mais tu verras aussi qu'il ne trouvera pas tout (ou alors c'est un excellent antivirus). Un virus PHP, ce sont des lignes de code et/ou des formulaires qui reçoit des données via des $_POST avec des noms de variables aléatoire et qui ensuite fait un eval() ou eval(base64_decode()) ou eval(base64_decode(gzinflate())) ou eval($FCT('jjjj')) où $FCT est une variable comme $FCT='ba'.'s'.'e_'.'64deco'.'de'; et ceteara....

Donc : oui fais-le mais, une fois encore, tu risques de ne pas tout avoir.

Bonne soirée.

**garnut** · 21/04/2015, 12h14

Re : Site infecté.

Envoyé par cavo789 Voir le message

Je pense qu'il faut le faire; tu verras que ton antivirus va très probablement trouver des fichiers mais tu verras aussi qu'il ne trouvera pas tout (ou alors c'est un excellent antivirus). Un virus PHP, ce sont des lignes de code et/ou des formulaires qui reçoit des données via des $_POST avec des noms de variables aléatoire et qui ensuite fait un eval() ou eval(base64_decode()) ou eval(base64_decode(gzinflate())) ou eval($FCT('jjjj')) où $FCT est une variable comme $FCT='ba'.'s'.'e_'.'64deco'.'de'; et ceteara....

Donc : oui fais-le mais, une fois encore, tu risques de ne pas tout avoir.

Bonne soirée.

Effectivement, mon anti-virus n'a rien trouvé, sauf deux fichiers php à la racine du site. Bon je dois me retrousser les manches et me mettre au boulot, pas le choix. Dans un premier temps, je dois fermer les portes.

Merci Cavo d'avoir pris le temps.

**cavo789** · 21/04/2015, 12h25

Re : Site infecté.

Disons que je connais un peu le sujet

Bon courage.

**garnut** · 22/04/2015, 12h58

Re : Site infecté.

J'ai enfin réussi à décontaminer la plupart de mes fichiers. Mais il me reste encore quelque chose de récalcitrant. Je m'explique, quand je me connecte en admin j'ai ce message de mon anti-virus(Eset smart security) " HTML/scrinject.b.gen virus", idem en frontend mais pour deux liens, un pour Photo Gallery (Mac Dock Effect) et dans Gestion des articles. J'imagine que c'est un script caché dans un fichier PHP. J'arrive pas à trouver. Une idée?

J'ai ajouté un Firewall et anti-virus en backend, par conséquent ça devrait aider, de plus j'ai changé mon mot de passe Admin.

**cavo789** · 22/04/2015, 13h06

Re : Site infecté.

Un antivirus en backend ? Tu peux préciser s'il te plaît ?

Le firewall a pour but, surtout, d'intercepter les attaques avant qu'elles n'arrivent. Le firewall pourra bloquer un certain nombre d'exploitations de failles / virus déjà présent mais si ton script semble normal (rien de malpropre sur lui); le firewall ne le verra pas.

Pour ton scrinject; tu as donc toujours des bestioles et donc tes recherches n'ont pas tout éliminé. Cela pourrait p.ex. être un script de type javascript qui va charger du contenu stocké sur un autre site que le tien et qui injecte du code html dans ta page. Là, en scannant ton propre site à la recherche de code php malsain, tu ne le trouveras pas si c'est du code JS (dans cette hypothèse)

**garnut** · 22/04/2015, 13h21

Re : Site infecté.

C'est "DMC Firewall" que j'ai trouvé ici http://extensions.joomla.org/extensi...y/dmc-firewall. Pour le " HTML/scrinject.b.gen virus" je crois aussi que c'est peut-être dans un fichier Javascript, par conséquent je devrai vérifier ces fichiers qui font référence aux éléments décris dans mon post précédent.

Site infecté.

[Problème] Site infecté.

Commentaire

Commentaire

Commentaire

Commentaire

Commentaire

Commentaire

Commentaire

Commentaire

Commentaire

Commentaire

Annonce

Partenaire de l'association