[Problème] virus Backdoor.PHP.ASQ

[yves35]

Bonjour

Kors d' une sauvegarde via Filezilla de mon site,
mon antivirus (Bitdefender) découvre 4 fichiers à la racine de mon site, infectés du virus Backdoor.PHP.ASQ
ce sont des fichiers .php, par exemple w34067677n.php

Je suis en JOOMLA 3.2

Est-ce grave docteur ?

Si oui, que dois-je faire ? supprimer ces fichiers ? Est-ce suffisant ? Et comment éviter que ça recommence ?

SI quelqu'un peut m'aider, merci d'avance

[jisse03]

Re : virus Backdoor.PHP.ASQ

Bonjour,

Si une backdoor ASQ a été installée, c'est qu'il y a une faille sur ton site. Et une fois la backdoor installée, l'attaquant a pu tout aussi bien modifier d'autres fichiers, installer des malwares en tous genres ou créer des comptes masqués en base de données.

Une analyse complète du site s'impose.

[toffffe]

Re : virus Backdoor.PHP.ASQ

[modo]Sujet déplacé dans la catégorie "sécurité"[/modo]

[yves35]

Re : virus Backdoor.PHP.ASQ

Bonjour,

Si une backdoor ASQ a été installée, c'est qu'il y a une faille sur ton site. Et une fois la backdoor installée, l'attaquant a pu tout aussi bien modifier d'autres fichiers, installer des malwares en tous genres ou créer des comptes masqués en base de données.

Une analyse complète du site s'impose.

Ben merci, ça accroît mon inquiétude !
Et comment on fait une analyse complète ?
Et comment on trouve l'origine de la faille ?
Et comment on évite que ça se reproduise ?

[jisse03]

Re : virus Backdoor.PHP.ASQ

Pour analyser, commencer par faire une copie locale du site, plus à côté un Joomla! de la même version, et utiliser un outil diff (sous Windows windiff par exemple) pour comparer le code, ce qui permet de déterminer l'ampleur des dégâts.

Corriger ce qui est infecté en écrasant par des fichiers propres (donc directement du Joomla! propre et pour les extensions, d'une archive propre juste téléchargée).

Trouver l'origine de la faille, en comlmançant par anlyser les logs d'accès au site (très fastidieux). Vérifier qu'aucune extension vullnérable n'est installée http://vel.joomla.org/ et le ca séchéant, mettre à jour vers une version non compromise ou si pas corrigée, remplacer par une équivalence.

Et il faut sécuriser le site entier, pas seulement Joomla! (voir CrawlProtect)

Et attention à ton logiciel FTP. Certaines versions de Filezilla peuvent être infectées (sans que les antivirus le voient) et envoyer tes mots de passe à des attaquants...

[yves35]

Re : virus Backdoor.PHP.ASQ

Merci des conseils

J'ai comparé la version courante avec une plus ancienne où il n'y avait pas de virus
Je n'ai trouvé aucun changement suspect

J'ai vérifié les extensions avec celles listées dans vel, n'en ai trouvée aucune suspecte

J'ai vérifié la liste d'utilisateurs directement dans la base de données; n'en ai pas trouvé de suspect

J'ai installé CrawlProtect

Par contre, je n'ai pas analysé les logs d'accès, pour la bonne raison que je ne les ai pas trouvés. Où se trouvent-ils ? le répertoire "logs" est vide

Et comment savoir si mon Filezilla est infecté ? J'ai la version la plus récente

[jisse03]

Re : virus Backdoor.PHP.ASQ

Pour trouver les logs d'accès, voir dans la documentation hébergeur, ou lui poser la question

N'utilisant pas filezilla, je n'ai aucun moyen de savoir s'il est infecté, poreux ou autre.