Script flooding mailout chez ovh

[rackham]

hello tous ....


j'utilise: la dernière version de Joomla!, 2.5.20.
et je n'ai pour le moment rien installé


Problème rencontré : Script flooding mailout
Commande apparente : php.ORIG.5 -c /usr/local/lib/php.ini -d register_globals=1 -d magic_quotes_gpc=1 -d session.use_trans_sid=1 -- system.php
Exécutable utilisé : N-A
Horodatage: Mon Jun 2 15:42:39 CEST 2014

Ceci n'est pas autorisé sur nos installations,
car c'est une tentative potentielle de piratage.

Si ce n'est pas vous qui avez lancé ce script, cela signifie
qu'il y a une faille sur votre site et qu'un hacker s'en
est servi pour réaliser cette opération.

Nous avons désactivé l'accès web temporairement pour éviter tout
risque de nouveau piratage.


amicalement votre
soeur marie therese

[webcrea]

Re : Script flooding mailout chez ovh

As-tu jeter un oeil sur tes logs et tes fichiers?

[rackham]

Re : Script flooding mailout chez ovh

j'ai viré les fichiers corrompu ou injecté pour les log je regarde ou ?

[webcrea]

Re : Script flooding mailout chez ovh

tu regardes à l'heure de création du fichier corrompu... que tu viens d'effacer , tu n'as plus qu'à attendre le prochain métro...

[rackham]

Re : Script flooding mailout chez ovh

ha oui ok c'est bon je fais toujours ça, ce qui m’étonne c'est qu'un version toute neuve soit déjà attaqué
ceci dit nettoyé avant hier et déjà re-pourris

[chabi01]

Re : Script flooding mailout chez ovh

Remettre uniquement les fichiers ne protègent pas le site : cela va durer longtemps !!
Tu dois arriver à trouver où les hackers passent sinon tu vas vite abandonner...

Tu n'as rien installé en plus sur ton Joomla ??? Un petit composant, plugin, module ? Un éditeur ? Un template ?...
Cordialement

[PieceOfCake]

Re : Script flooding mailout chez ovh

Chez OVH les logs sont accessibles via le managerV3 en passant par l'outil statistiques > accès aux journaux puis choisir la date des logs HTTP (attention ils ne sont pas fermés par journée à 0h00 GMT mais en cours de nuit de mémoire et visible à partir du lendemain)

[cavo789]

Re : Script flooding mailout chez ovh

En analysant les logs et; en ayant en mémoire le nom du fichier virusé que tu as supprimé (p.ex. /images/hodor.php); fais une recherche dans le log sdur hodor.php pour savoir comment ce fichier est arrivé sur ton site.

[rackham]

Re : Script flooding mailout chez ovh

voila le message de ovh
Problème rencontré : Script flooding mailout
Commande apparente : php.ORIG.5 -c /usr/local/lib/php.ini -d register_globals=1 -d magic_quotes_gpc=1 -d session.use_trans_sid=1 -- system.php
Exécutable utilisé : N-A
Horodatage: Tue Jun 3 17:45:24 CEST 2014

le seul composant installé c'est JCE

[chabi01]

Re : Script flooding mailout chez ovh

Bonsoir,
Relis attentivement le message de Cavo789 pour analyser les logs.

le seul composant installé c'est JCE

Quelle version ? Les anciennes versions sont vulnérables (attaques "JCE Bots")

Un petit peu de lecture en anglais (traduction si nécessaire via un google translate) : http://blog.sucuri.net/2014/03/jce-j...-the-wild.html

Cordialement,

[cavo789]

Re : Script flooding mailout chez ovh

Si tu lis l'anglais; voici un chouette article récent qui explique comment retrouver les traces d'un hack.

http://www.smashingmagazine.com/2014/05/30/are-you-prepared-against-a-hack/

Bonne soirée.

[rackham]

Re : Script flooding mailout chez ovh

pour la version: jce Version 2.3.4.4

je viens d'installer la Version 2.4.0RC1 qui semble être la derniere