[Problème] SIte Joomla transformé en serveur de spam...

[luxojr]

Bonjour à tous,
Je viens de réaliser que mon site Joomla (version 2.5.28) a été attaqué et transformé en serveur de spam (je n'en suis pas sûr).
Que puis-je faire pour résoudre ce problème. J'ai passé l'appli AEsecure-quickscan, mais il se produit une erreur internet à la fin du scan, donc pas de résultats.
Merci d'avance.
Bien à vous.
Jean-François

[daneel]

Bonjour,

Il y a 2-3 ans, j'ai oublié un vieux site Joomla qui s'est transformé en envoi de spam, l'adresse e-mail du site (dans la configuration) a récupéré toutes les messages d'erreurs... les outils de protection du serveur dédié ont bloqué rapidement mais pas assez pour empêcher l'adresse ip d'être blacklisté (le script du hacker expediait 40 mails/mn via phpmail). Après avoir réagi rapidement, j'ai du contacter un par un les serveurs antispam pour permettre aux autres sites hébergés de poursuivre leur envoi de mail depuis le même serveur (Bien evidemment durant un week-end sinon ce ne serait pas amusant, lol). Depuis, je n'ai plus de "vieux sites" ou de vieilles extensions...

Quand un site devient une machine à spam, l'envoi de message ne se désemplit pas. Le pirate lance l'execution de son script régulièrement, consultez les logs ainsi que les boîtes mails.

Théoriquement, l'hébergeur détecte les envois et bloque tous les mails pour eviter que l'ip de son serveur soit blacklisté.
N'hésitez pas à vérifier votre nom de domaine ou ip du serveur via : https://mxtoolbox.com/blacklists.aspx

Joomla 2.5 et ses extensions peuvent contenir des failles de sécurité. Bien evidemment, on ne répète jamais assez de migrer vers la dernière version de joomla et d'utiliser que des extensions et template mis à jour régulièrement. tester également avec https://sitecheck.sucuri.net/

Vérifier si votre adresse mail n'a pas été hacké :

https://haveibeenpwned.com/

ou du domaine : https://haveibeenpwned.com/DomainSearch

Vous pouvez également scanner les fichiers de votre site, comparer avec un joomla 2.5 standard, bloquer les formulaires (avec captcha et honeypot). Désactiver et supprimer tout ce qui n'est pas nécessaire, parfois de vieilles extensions sont "oubliées" mais pas pour les hackers

Astuces :
- j'utilise des outils comme winmerge pour comparer un fichier ou un dossier (il en existe de meilleurs mais celui-ci est gratuit) : http://winmerge.org/?lang=fr
- Je travaille en local (via un serveur wamp) dans un environnement protégé (et virtualisé)
- Toujours en local, j'utilise fakesmtp pour voir tous les mails envoyés par le site (et le résultat)... http://nilhcem.com/FakeSMTP/
- C'est toujours plus facile de de comparer avec une sauvegarde (surtout si elle est valide car testé depuis longtemps)
- Si je n'ai pas de sauvegarde, je n'hésite pas à écraser les fichiers en récupérant un joomla 2.5 standard, ce qui me permet de me concentrer sur le template et les extensions.
- les dates de modifications m'indiquent souvent l'origine du problème...

Bon courage !

[cavo789]

Bonjour Jean-François

J'ai passé l'appli AEsecure-quickscan, mais il se produit une erreur internet à la fin du scan, donc pas de résultats

La documentation d'aeSecure QuickScan le précise : sur un site de production (en ligne donc), une erreur 504 Timeout arrive la plupart du temps car scanner des fichiers est un processus long et son hébergeur ne va pas aimer que tu consommes autant de CPU.

En mode expert (https://www.aesecure.com/fr/blog/aes...l#expert-intro) tu vas pouvoir sélectionner par "lot" de fichiers; le mieux étant de scanner en localhost.

Maintenant, bien comprendre ce que veux dire "spam" : est-ce juste toi (webmaster) ou sont-ce des emails envoyés depuis ton site vers "n'importe qui". Dans le premier cas, c'est "juste" un spam envoyé via un formulaire de contact non protégé de ton site. Pour le protégé il suffit souvent de mettre un captcha et le problème est aussi vite résolu.

Bonne journée.