Site piraté

[pmleconte]

En standard, media/vendor/codemirror ne contient qu'un répertoire js et pas de répertoire mode. Donc, sauf si vous avez installé des plugins spécifiques codemirror, ce sont bien des intrus.
La question de Robert reste pertinente : comment sont-ils arrivés là ? il doit y avoir une faille sur votre site.
Les 1eres recommandations sont :
- changer votre mot de passe FTP ainsi que celui de votre base de données,
- vérifier dans la liste des utilisateurs s'il n'y a pas d'intrus
- vérifier que vos extensions sont bien à jour
Pascal

[cavo789]

Hello

le scan de Christophe fait 504 Gateway Time Out sur le site en ligne,

Sur un site en ligne, c'est normal. Le serveur n'accepte pas qu'un script PHP puisse prendre plus de xxx secondes (c'est un paramètre du serveur) et donc, boum, timeout.

Pour les résultats; oui, il faut prendre le temps de lire et d'essayer de les comprendre (=est-ce un vrai sans aucun doute ou une probabilité d'un virus).

Mon script détecte; sans aucun doute, plus de 45.000 signatures de virus. Quand il en trouve un, le message affiché est du style "Virus détecté" et non "Probabilité d'un virus".

Reste encore que c'est un scan non exhaustif; plus dans l'idée de vérifier si le site est vérolé ou pas (et de détecter un paquet de virus d'ores et déjà) mais, n'étant pas un scan exhausitf (et qui requiert un expert pour analyser les résultats); tu ne peux pas nettoyer ton site avec QuickScan et avoir la certitude que tout est propre ensuite.

[balad144]

pmleconte merci pour ces infos, c'est quand même rageant nous avons un site d'asso, on a rien à vendre, pas données sensibles, rien, juste de l'info !

cavo789 , pour le timeout j'avais vu ça sur ton site, il y a quand même beaucoup de Danger après le scan en local, j'ai mis le fichier suivant si quelqu'un peut regarder vite fait, mais je suis quand même inquiet !

[pmleconte]

Le 1er fichier trouvé est celui qui crée les fichiers virus : administrator\components\com_admin\script.php

Récupérez le vrai fichier script.php de com_admin.

Comme indiqué plus haut, cela bloquera la création des fichiers dans media/vendor/codemirror/mode, mais, on ne sait pas encore par où ils sont entrés sur votre site, ni ce qu'ils y ont fait : peut-être des articles/menus touchés, de nouveaux utilisateurs...

Au niveau des autres fichiers signalés, il s'agit de faux positifs.

Pascal

[balad144]

pmleconte, j'ai suivi ton conseil, j'ai récupéré script.php du package de joomla 5.1.4 et je l'ai remplacé sur le site.

Petite question d'un novice, si je réinstallais Joomla 5.1.4 par dessus sur le site, cela ne résoudrai pas ces problèmes ?
sans que cela dégrade le site bien sur !

Merci encore pour tous vos conseils.
Fred

[RobertG]

Bonjour,

Réinstaller le pack de mise à jour depuis la page de mise à jour de Joomla! ne suffit à mon avis pas.
Il faut écraser par ftp les fichiers du noyau avec un pack vierge sans son dossier "installation" et en faisant attention à ne pas avoir fait de personnalisation de Cassiopeia qui serait supprimée.
Mais cette méthode remplacera le contenu des fichiers du noyau éventuellement piratés, mais ne touchera pas aux fichiers pirates qui auraient pu être ajoutés.

[cavo789]

Hello

Je viens de mettre aeSecure Quickscan à jour càd que maintenant il va reconnaître les fichiers natifs de Joomla 5.1.3 et 5.1.4 ==> si tu relances le script aeSecure Quickscan (nul besoin de le télécharger à nouveau); il va donc détecter ta version locale (J5.1.4) et va regarder sur Github pour trouver le fichier de "hash" correspondant (maintenant il y est) et donc télécharger une version qui correspond à ton site.

Le scan sera donc bien, bien plus rapide mais surtout, le nombre de faux positif va fondre comme bonhomme de neige en plein désert.

[cavo789]

Petite question d'un novice, si je réinstallais Joomla 5.1.4 par dessus sur le site, cela ne résoudrai pas ces problèmes ?
sans que cela dégrade le site bien sur !

Dans les écrans d'administration de Joomla (désolé je ne sais plus où), tu peux réinstaller les fichiers natifs de Joomla (même version) sur ton site actuel sans que cela n'ait d'impact (je doute que tu ais été modifié un fichier core toi-même n'est-ce pas) donc, triple oui, faire cela va remettre les fichiers de Joomla à leur bonne version (non hackée).

Si tu avais donc un fichier de Joomla qui aurait été vérolé, boum, tu remets une version propre et c'est excellent de faire cela.

Reste que si tu avais un fichier "toto.php" dans un dossier de Joomla , là, ce fichier resterait en place. Joomla n'ira pas détecter cet intrus ni le supprimer.

[RobertG]

Après ta réponse, cavo789 je me demande qui de nous deux a raison.
Pour moi, la réinstallation des fichiers du noyau consistait en la réinstallation du pack de mise à jour et pas de la totalité des fichiers.
Si quelqu'un peut trancher en nous donnant une adresse où trouver des précisions, ce serait bien.

[cavo789]

Oh ? Je n'ai jamais essayé mais quand j'ai vu l'option à l'époque, j'ai uniquement songé à l'intégralité du CMS... Et je m'étais dis que c'était cool pour restaurer des fichiers hackés.

[RobertG]

Ce qui me fait douter c'est qu'à priori on n'a que des packs de version complète avec le dossier "installation" à ne pas renvoyer, ou de mise à jour dont je n'ai jamais cherché à savoir s'il contenait aussi la totalité sauf "installation".

[cavo789]

Le script peut parfaitement télécharger le zip complet, décompresser et supprimer le dossier installation... Zéro souci ici...

[RobertG]

Ou que le pack de mise à jour soit un pack complet sans le dossier installation. Je comparerai.

[balad144]

Merci à vous pour toutes ces infos,

donc je peux réinstaller J5.1.4 à partir de ce fichier: joomla_5.1.4-Stable-FR-Full_Package.zip
sans que cela risque de modifier le site !

Bonne soirée.
Fred

[RobertG]

Attention, pas d'installation, mais tu peux soit lancer la réinstallation depuis la page de mise à jour de Joomla! en forçant une recherche de mise à jour puis en cliquant sur le bouton "réinstaller les fichiers du noyau", soit écraser par ftp les fichiers par ceux de ce pack sans son dossier "installation".