Aiuto - Dominio sospeso per attività illecita

[Vincenxo]

Salve a tutti,
Ieri sera mi hanno sospeso il dominio, resettato il tutto e mandato il backup con file di log e di scansione, a causa della presenza di malware nel dominio.

Vi chiedo aiuto perchè non ho esperienza su questi problemi e vorrei una mano per capire cosa è successo analizzando i file di log che mi hanno inviato.

Ringrazio anticipatamente chiunque sia disposto ad aiutarmi.

Vi allego i file di log.

Vincenzo

[allegato vecchio più di un anno eliminato automaticamente]

[alexred]

ciao Vincenxo,
che versione di Joomla avevi?
Quali estensioni e quali versioni avevi installate?

[Vincenxo]

Avevo Joomla 1.5.20 le estensioni ho sempre cercato di tenerle aggiornate, ma ultimamente non ho controllato se fossero uscite versioni nuove.
Cmq i componenti sono molti:
Chronocomment
Docman
EasyTemplate
Eventlist
Flippingbook
GUARDXT
JCE Editor
Ninja Rsssyndicator
Phocamaps
Rssfactory
Sh404sef
Xmap

PLUGIN
AVreloaded
Xtypo
artsexylightbox
yvsmiley
...

Dal log della scansione che hanno fatto sono state segnalate queste cartelle:
World writeable directory:
plugins/system/jalib20/

Suspicious directory:
administrator/components/com_extcalendar/
administrator/components/com_chronocontact/

Symlink to [/usr/local/awstats/wwwroot/icon]:
'/home/accademi/domains/accademiascacchi.it/awstats/icon'
# Regular expression match = [^(?!\s*(\/\/|\#|\*)).*/etc/passwd]:
'/home/accademi/domains/accademiascacchi.it/awstats/.data/awstats042010.accademiascacchi.it.txt'

[Vincenxo]

Il provider mi consiglia di reinstallare tutto da capo.
Ovviamente è una cosa che vorrei assolutamente evitare, dato che ci vorrebbe una vita per riconfigurare tutto.
Pensavo di caricare un vecchio backup che ho l'abitudine di fare ed aggiornare tutti i componenti, plugin...
Prima però vorrei ben capire cosa è successo quale componente è vulnerabile.

Il provider ha scritto che se reinserisco il backup con i file infetti mi disattivano il dominio.
Per analizzare i file prima di ricaricarli sul server quale antimalware posso utilizzare? C'è qualcosa di specifico per i siti internet?

Grazie dell'aiuto :-)

[jeckodevelopment]

dai log che riporti sembra che il problema siano due estensioni "ChronoContact" e "com_extcalendar", dovresti controllare se non sono interessate da qualche vulnerabilità e controllare se utilizzi l'ultima versione delle tue estensioni.

Poi sempre dal tuo log sembra ci sia anche un sospetto per "awstats", il servizio di statistiche, controlla anche quello.

[Vincenxo]

ChronoContact fa parte di ChronoComment che non aggiornano dal 2009 quindi lo posso benissimo sostituire. Avete consigli per una valida alternativa?

com_extcalendar non riesco a capire che componente sia. E' per caso un componente nativo di Joomla?

Awstas non credo di averlo mai installato, inoltre si trova nella root del server e non in public_html. E' forse un servizio del provider? In questo caso sarebbero cavoli loro giusto?

[mau_develop]

...secondo me il problema è che sono passati da qualche tua estensione vulnerabile ma poi hanno sfruttato un problemino del server con i link simbolici per bypassare il safe_mode.

secondo me entrambi dovete fare qualcosa. se sei sicuro che il backup è pulito parti pure da quello, ma la prima cosa da fare è sicuramente aggiornare le estensioni, tutte.

M.

[Vincenxo]

Io quello che posso fare appunto è tenere tutto il più aggiornato possibile.
Ma il provider? Se gli vado a dire qualcosa quelli si incazzano e danno sempre tutta la colpa al cliente.

[mau_develop]

...infatti, al provider è abbastanza inutile dire molte cose ... ma non temere che se hanno fatto ciò che penso non sei il solo e anche lui ormai si è accorto del problema... si spera.

M.