Mi lego a questo post solo perchè ho avuto un attacco simile con una versione 3.3 di Joomla.
La mia shell si trovava in /administrator/administrator.php
Vorrei procedere con una pulizia della cartella libraries tuttavia ci sono delle cartelle che sono state create dal framework gantry, dal forum kunena, rokcommon. Premetto quindi che queste cartelle le controllerò file per file con un backup antecedente alla compromissione (backup che non uso solo perchè è di un mese più vecchio e il cliente ha inserito molti contenuti nel periodo natalizio).
Vi vorrei chiedere quindi se i contenuti delle cartelle presenti di default in /libraries vengono modificati dall'installazione dei componenti e plugin...
Vi dico solo che dopo l'avviso di compromissione del sito da parte di GOOGLE, ho eliminato questi file e stringhe di funzioni inserite nei file, ed anche il sitemap.xml inviato dall'Hacker. Google ha tolto la compromissione, tuttavia i link indicizzati (frutto della compromissione) ci sono ancora. Sto procedendo con una rimozione manuale di URL. Secondo me non è ancora del tutto pulito, da qualche parte ci deve essere un file che butta URL a cui il sito doveva dirottare...
Nel frattempo ho aggiornato tutto, e ho cambiato tutte le password.
Grazie dell'aiuto
