[RÉGLÉ] Mon site a été hacké - mon hébergeur OVH a bloqué l'accès

[bizerte77]

Bonjour,

J'ai reçu un mail de mon hébergeur qui me dit :

"Notre système de surveillance a détecté une opération irrégulière au niveau de votre site. Ce message a pour but de vous alerter sur le fait que votre site et vos données peuvent encourir un risque.
Par mesure de sécurité, nous venons de bloquer l'accès à votre site, cependant, l'accès à votre espace d'hébergement (FTP) reste tout de même accessible."

"Vous trouverez ci-dessous les détails techniques de cette opération :
Domaine : monsite.com
Problème rencontré : Un script malveillant a été détecté sur votre hébergement
Commande apparente : nc -l 80
Exécutable utilisé : /bin/nc.traditional
Horodatage: 2015-12-15 22:30:14"

Dans le mail on me demande d'Analyser les logs de mon site (Grâce aux logs fournis par OVH, vous pourrez identifier le script malveillant ayant été utilisé. Vous pourrez ainsi identifier les fichiers qui nécessitent d'être corrigés ou supprimés.). Je ne comprend pas comment identifier le script malveillant. Pouvez-vous m'aider?

Merci par avance pour votre aide!

Bonne journée

[cavo789]

Re : Mon site a été hacké - mon hébergeur OVH a bloqué l'accès

Bonjour

Si tu as un backup récent (et sain) de ton site, je te recommande de le restaurer; c'est bien plus facile que de nettoyer un site vérolé à la main; sans outil dédicacé.

Si tu n'as pas de backup; tu peux toujours essayer QuickScan pour déloger quelques virus (voir ma signature) puis suivre le troisième lien dans ma signature ("Votre site a été hacké, que faire?") afin de prendre connaissance d'un billet qui donne plusieurs pistes et une méthodologie pour nettoyer un site.

Bonne chasse aux morpions.

[bizerte77]

Re : Mon site a été hacké - mon hébergeur OVH a bloqué l'accès

Bonjour,

Merci pour votre réponse. Malheureusement ma dernière sauvegarde remonte au mois dernier et il y a eu pas mal de changement sur le site. Je penserai à faire des sauvegardes plus régulièrement!

Donc si j'ai bien compris je peux ajouter directement le fichier aesecure_quick_scan.php sur mon FTP même si le site a été bloqué par OVH. Le fichier pourra quand même faire son "travail"?

Merci!

Edit: Finalement j'ai ce message quand je vais sur monsite.com/aesecure_quick_scan.php : "You don't have permission to access /aesecure_quick_scan.php on this server." Je dois voir ça avec l'hébergeur?

[SimonG]

Re : Mon site a été hacké - mon hébergeur OVH a bloqué l'accès

Bonjour,

Edit: Finalement j'ai ce message quand je vais sur monsite.com/aesecure_quick_scan.php : "You don't have permission to access /aesecure_quick_scan.php on this server." Je dois voir ça avec l'hébergeur?

En effet, à voir avec l’hébergeur.

Par contre, cet hébergeur effectue des sauvegardes automatiques, il est donc possible d’en restaurer une.

[bizerte77]

Re : Mon site a été hacké - mon hébergeur OVH a bloqué l'accès

Bonjour,

"Par contre, cet hébergeur effectue des sauvegardes automatiques, il est donc possible d’en restaurer une." C'est une excellente nouvelle je vais voir avec eux !

Avez-vous un module/composant/plugin à me conseiller pour sécuriser d'avantage mon site?

Merci!

Bonne journée

[SimonG]

Re : Mon site a été hacké - mon hébergeur OVH a bloqué l'accès

Pour qu’un site soit sécurisé, il est important de respecter plusieurs règles :

http://cinnk.com/joomla/3/le-livre-pour-tous/sécurité

Une fois ces règles respecter, il est bon d’utiliser une extension comme par exemple aeSecure :

http://www.aesecure.com

[bizerte77]

Re : Mon site a été hacké - mon hébergeur OVH a bloqué l'accès

Merci pour les liens.

J'ai suivi les étapes pour récupérer la sauvegarde automatique de OVH ici : https://www.ovh.com/fr/g1593.Recuper...-via-fileZilla mais j'ai ce message : "Erreur: Impossible d'établir une connexion au serveur".

C'est parce que OVH a bloqué l'accès au site?

Merci!

Edit : J'ai opté pour la récupération via le manager. On verra dans quelques heures... En tous cas merci!

[SimonG]

Re : Mon site a été hacké - mon hébergeur OVH a bloqué l'accès

C'est parce que OVH a bloqué l'accès au site?

Il serait mieux de leur poser directement la question

[cavo789]

Re : Mon site a été hacké - mon hébergeur OVH a bloqué l'accès

Bonjour

OVH a l'habitude de bloquer le site quand ils ont détecté un virus; c'est au webmaster à le débloquer et nettoyer ensuite.

Le déblocage est une action simple et documentée : https://www.ovh.com/fr/g1392.procedu...eture-hack-ovh

C'est ensuite, une fois débloquée, que tu pourras à nouveau exécuter des scripts dont aeSecure QuickScan.

Bonne journée.

[bizerte77]

Re : Mon site a été hacké - mon hébergeur OVH a bloqué l'accès

Bonjour,

Merci pour les précisions. Étant donné que je suis la webmaster, c'est à moi de régler ce problème. Je n'ai jamais eu à faire à ce genre de problème et c'est pour cela que je demande votre aide.

C'est en cours de restauration, cela devrait prendre quelques heures. Ensuite je pourrai régler les problèmes de sécurité.

Bonne journée

Edit : c'était bien ça. Le site refonctionne

[bizerte77]

Re : Mon site a été hacké - mon hébergeur OVH a bloqué l'accès

Re,

J'ai reçu un mail de la part d'OVH me disant : "La restauration de votre espace Web du daily.2 a eu lieu avec succès."

Le site n'est toujours pas accessible mais je crois que je dois ré-ouvrir le site en suivant les étapes "Réouverture via FileZilla" du guide OVH ici https://www.ovh.com/fr/g1392.procedu..._via_filezilla

C'est bien ça? Je ne veux pas faire de bêtise. Le support technique ne répond pas et au tel ils savent pas.

Merci!

[cavo789]

Re : Mon site a été hacké - mon hébergeur OVH a bloqué l'accès

Je ne peux que répéter ce que j'ai écris plus haut : à priori, tu dois réactiver ton site et donc un "CHMOD / 705" comme expliqué dans leur propre doc.

A priori...

[bizerte77]

Re : Mon site a été hacké - mon hébergeur OVH a bloqué l'accès

Re,

Par contre il faut régler la faille de sécurité. Dans les logs il y a des éléments "POST" mais que faut-il faire avec?

Merci!

- - - Mise à jour - - -

Je ne peux que répéter ce que j'ai écris plus haut : à priori, tu dois réactiver ton site et donc un "CHMOD / 705" comme expliqué dans leur propre doc.

A priori...

Oui c'était bien ça merci!

Edit: Juste une question bête : en utilisant "aeSecure Quick Scan" le site reste opérationnel pendant le scan? Merci!