fichiers javascript infecté par GT:JS.Injected.6.2B867A58

[veroarno]

Bonjour,

petit résumé de la situation :
après avoir réinstallé et écrasé tous les fichiers infectés, changé mots de passe FTP et accès PLESK, mis en place accès console admin l'authentification multifacteurs avec Authenticator, passé mes antivirus sur les fichiers, mis à jour mon pc au niveau de la sécurité, depuis 1 semaine, plus aucune activité suspecte. Ce matin, site inaccessible. Via FTP, je m'aperçois qu'un fichier .hta.php a été crée ainsi qu'un nouveau fichier index (script avec les mots WP pour wordpress) à la racine. Dans le journal des actions dans Joomla, je vois que je me serai connecté (ce n'est pas moi), donc en super utilisateur, ce matin à 5h. Comme la première fois, juste une action de connection mais pas de déconnection alors que j'ai une authentification multifacteurs pour accéder à ma console!
D'un autre côté, je me suis aperçu qu'à chaque fois que je me connecte au Plesk pour accéder à mon compte d'hébergement, j'ai toujours ce message "Attention! Un autre utilisateur est déjà connecté avec le même nom d'utilisateur" alors que j'ai changé à 3 reprise le mot de passe. La je viens de désactiver l'accès Jeton API Joomla et même réinitialisé le jeton dans la gestion utilisateur, on ne sait jamais.
J'ai besoin et J'essaye de comprendre le problème pour faire le nécessaire mais là je bute....

[Helloo]

Bonjour,

Je me répète, mais :

Je suggère de refaire l'intégralité du site depuis le début, sans utiliser de sauvegarde, et chez un nouvel hébergeur.

J'espère que vous avez mis votre site hors ligne. Vous êtes responsable de toute contamination que vos visiteurs ou tiers peuvent contracter à partir de votre site contaminé.

[RobertG]

Bonjour,

Une alternative : https://fix.mysites.guru/ de Phil Taylor

[veroarno]

Bonjour RobertG,

Merci pour ton lien, j'ai pris un abonnement mensuel. Je ne connaissais pas mais c'est riche de connaissances à apprendre. Mes sites étaient sains, seul 1 avait un module à supprimer, ce sue j'ai fait car il envoyait un lien vers le site Amazon.
Sur mon site principal www.cfdtbrinks.fr, je me retrouve confronté à un souci mais du côté de l'héberger. En effet j'ai réglé mon abonnement ainsi que le renouvellement du nom de domaine avant l'échéance mais depuis lundi à 14h, mon domaine n'est plus actif. J'aie envoyé plusieurs demandes via le manager ainsi que par mail, mais plus personne ne répond. Je suis chez Scarssity, à l'époque c'est Simon GRANGE qui m'avait orienté vers eux. J'ai cherché sur le net mais je ne trouve aucune coordonnée, auquel je puisse accéder. Si toutefois vous aviez dans votre entourage sur le forum quelqu'un qui peut m'expliquer mais j'ai peur que la société ai des soucis.
merci d'avance
Arnaud

[RobertG]

Bonjour,

Pourtant, sur le site de l'Afnic, le site est actif jusqu'en septembre 2025.

et en faisant une recherche chez ton hébergeur

L'ennui est que le contact ne fonctionne pas, et à ce que j'ai vu, le seul n° de téléphone proposé n'est pas chez nous...
Je ne vois pas comment faire, peut-être en interrogeant l'AFNIC ?

[veroarno]

Oui c'est vraiment incompréhensible Tu vois. J'ai toujours accès à mon manager, J'ai bien mon offre, qui apparaît à jour mais le nom de domaine n'est pas actif.
C'était guillaume boutin LEFEUVRE. Qui me répondait en tant qu'opérateur Mais là, je n'ai plus aucun signe de vie. Depuis lundi J'ai envoyé au moins 6 messages, via le manager et par e-mail.

[RobertG]

Ton nom de domaine est-il aussi considéré comme expiré dans ton manager ?
As-tu la possibilité de changer d'hébergeur et de générer depuis ce manager une clé d'autorisation de changement de registrar pour transférer le nom de domaine ?

As-tu toujours accès au ftp ? Si oui, n'y a-t-il pas des choses pouvant te faire penser à un piratage ?

[veroarno]

Dans le manager le nom de domaine n'apparaît pas comme expiré il est valable jusqu'en 2025. Je n'ai plus accès en FTP. Mais j'ai toujours accès au Plesk et aux fichiers racines. Mon site était sous surveillance depuis des semaines. Je n'ai eu aucun signe de piratage ni modification Sur les fichiers Et les divers examen Donnait mon site sain. Mais c'est surtout le fait quand ne répondent plus à mes e-mailsquii est très bizarre en fait. Je ne peux pas transférer le domaine car comme il est inactif, le nom n'apparaît pas dans le choix

[veroarno]

Dans le plesk au niveau des DNS J'ai l'option, rétablir les paramètres initial.... Est-ce, que cela pourrait changer quelque chose ?

[RobertG]

Comment se fait-il que tu n'aies plus accès au ftp ? Tu avais changé le mot de passe, si je me souviens bien.

J'imagine que ton abonnement pour l'hébergement est bien actif, si tu accèdes au manager et que tu vois tes fichiers.

[veroarno]

oui j'avais changé tout mes MDP pour repartir de zéro. J'y allais sans probème jusqu'à ce lundi 14H.
Mon abonnement est bien actif, mon règlement est bien passé au nom de l'hébergeur sur mon compte et c'est bien noté sur la facture :

Description	Montant
OFFRE PRO - cfdtbrinks.fr (22/09/2024 - 21/09/2025) *	€82,80 EUR
Renouvellement de domaine - cfdtbrinks.fr - 1 An(s) (22/09/2024 - 21/09/2025) + Gestion DNS + Protection ID *

dans le Plesk ce message au niveau des DNS : Le nom de domaine du site Web ne se résout pas ou résout vers une autre adresse IP.

Pour mettre votre site Web en ligne, mettez à jour les paramètres DNS du côté de votre registrar de domaine ou de votre fournisseur DNS externe.
Ca m'interpelle qu'ils ne pointent pas a la bonne adresse mais il faut que le domaine soit actif ...et comme je n'ai eu aucun incident ces derniers jours, le problème n'est pas la je pense
je peux t'envoyer mes accès en mp si tu as le temps de jeter un oeil

[RobertG]

Tu peux m'envoyer les infos en MP, je verrai si j'y comprends quelque chose

[veroarno]

c'est fait

[RobertG]

Merci, comme dit en privé, c'est le fait que le domaine soit affiché comme expiré dans ton manager qui est en cause

Pourtant, le paiement de la facture il y a 3 semaines a bien été pris en compte.
A part essayer d'avoir Scarssity au téléphone ou par Chat, je ne vois vraiment pas ce qui peut être fait.

[veroarno]

Pourquoi l'opérateur ne répond pas a mes tickets d'une part ni aux mails d'autre part.... C'est une dinguerie. Même si le serveur était en panne j'aurai un message.je ne peux même pas transférer le domaine inactif. J'ai trouvé un autre tel sur internet mais ca n'aboutit pas.
il faudrait que je retrouve les coordonnées de Simon, Scarssity était partenaire avec lui