Piratage de liens

[Woualy]

Bonsoir à toutes et tous,

Je viens de m'apercevoir que mon site www.trailrunner.fr en Joomla 3.9.28 a été en partie "hacké" à chaque fois que l'on clic sur un lien d'article ou de menu cela ouvre en "blank" dans un nouvel onglet un site pirate , j'avoue que je sèche un peu pour trouver comment régler ce problème ? une idée ?

[cavo789]

Bonsoir

J'ai jeté un oeil à la page http://www.trailrunner.fr/comptes-re...-besancon.html et j'ai fait un CTRL-U (càd un "view source") pour avoir le code HTML.

Il y a un code qui m'interpelle mais je ne dis certainement pas que c'est la source du souci. Tu trouveras ce code en lignes 271 et suivantes :

<script type="text/javascript" src="https://img.metaffiliation.com/na/na/res/trk/script.js"></script>
<!-- BEGIN CODE IMAGE 120x600 -->
<script type="text/javascript">
try {
new __trknanapub("S4E23155D8D81935");
} catch(e) {}
</script>
<noscript>
<iframe src="https://action.metaffiliation.com/trk.php?maff=N4E23155D8D81935" width="120" height="600" frameborder="0" scrolling="no"></iframe>
</noscript>
<!-- END CODE -->

Le truc est qu'on ne sait pas ce que fais ce __trknanapub... Le code du script script.js étant rendu illisible.

Essaie de virer ce machin pour voir si cela change quelque chose.

[Woualy]

Merci Cavo789 pour cette recherche, cette ligne correspond à un lien d'affiliation publicitaire, pas de lien avec ce "hack".
Bizarrement je viens de regarder de nouveau sur mon site, je n'ai plus de double page qui s'affiche quand je clic sur un lien du site
Est ce que cela pourrait être un "malware" ou autre sur mon PC plutôt que sur le site ?

[cavo789]

C'était ma première idée (ton pc, ton navigateur,...) mais j'ai testé ton site hier et j'ai bien rencontré le souci.

Donc il y a bien un script sur ta page qui provoque cela.

Faudra y aller de manière empirique : opte pour un autre template et vois si cela continue, si oui, c'est donc autre chose et vois par exemple à désactiver les plugins de type contenu et ainsi de suite avec les modules jusqu'au moment où tu n'as plus le souci.

Pense aussi à utiliser le mode privé de ton navigateur pour ne pas être embêté par le cache.

[Woualy]

Merci pour les conseils, je vais continuer l'enquête

[Woualy]

Re,

J'ai télécharger en local le site, j'ai fait une recherche dans tous, et dans, les fichiers du site pour trouver ce de lien http://iyfnz.com/?dn=notallowedscriptgoogle-analyt
Aucun résultat.
Et ce que c'est un rewrite dans le .htacces, le index.php, je ne trouve pas de traces de modification.

[woluweb]

je crois que le 1er mois est gratuit sur https://mysites.guru/
crée un compte et s'il y a un fichier infecté cet outil te l'indiquera (soit en disant que c'est piraté, soit en allant voir dans les fichiers suspects qu'il liste)

[cavo789]

Pour info, j'ai écris un scanner gratuit pour détecter la présence de virus : https://github.com/cavo789/aesecure_quickscan

Prends le temps de lire la doc pour bien comprendre les limitations de l'outil

[Woualy]

Merci pour les liens, j'essaie avec mysites.guru, et je regarde la doc du scanner de Cavo789

[daneel]

J'avoue que je sèche un peu pour trouver comment régler ce problème ? une idée ?

1. De mon avis et par déduction, c'est l'extension de gestion des cookies qui est mal codé et s'est fait détourné.

Je viens de me rendre compte en visitant ton site car les liens ouvre vers une url contenant notallowedscriptgoogle-analytics . com
J'ai donc vérifier sur google les sites ayant le même lien et chacun de ces sites possède le même probleme et la même extension (curieux, non?)
soit une vingtaine de site apparemment dont un site d'une paroisse, des sites d'entreprises une pépinière et des avocats...

Le fait de désactiver cette extension devrait permettre de retrouver le site normal. (n'oublie pas de supprimer de toute trace et vider le cache serveur et navigateur).

Tu pourras nous confirmer cela ?

2. Mon conseil (peu importe le résultat), c'est d'utiliser uniquement des extensions publiées sur la JED (l'annuaire des extensions de joomla.org).
Si une extension est faillible, elle fera l'objet d'une exclusion temporaire en attendant les modifications du développeur
L'exclusion est définitive en cas d'abandon ou manquement au règlement. C'est assez strict.

Par exemple, Cedric a mis à jour son extension cookie CK afin de répondre aux exigences de la CNIL sur les cookies
Sa présentation sur la JED est visible sur https://extensions.joomla.org/extension/cookies-ck/ en plus elle est gratuite !
(la version pro payante ne propose que le changement de style en plus donc purement optionnelle)
Il y a d'autres extensions pour la gestion du RGPD et des cookies.

[manu93fr]

Hello,
@daneel Bien vu pour ta déduction !

On ne parlera pas non plus de l'auteur de cette extension ...