RISOLTO Sito attaccato da HACKER - login.zana

[loky62]

Ciao a tutti, ho subito un attacco da parte di HACKER su un sito fatto da me che era alla versione 1.5.20.

Ho provveduto, leggendo vari topic sull'argomento, a:

- modificare le password di FTP e ADMIN
- migrare alla 1.5.21 copiando e sostituiendo integralmente tutti i dati dell'installazione completa
- ricopiare il mio template al quale ho eliminato tutti i file index.html che erano stati modificati dall'attacco

Ora il sito é su ( se volete vi posto il link ) ma lanciandolo e guardando sotto, si vede che fa qualcosa di strano collegandosi ad altri siti, leggo velocemente, tra gli altri, qualcosa che ha a che fare con   login.zana.

Un utente mi dice che l'ativirus gli ha segnalato un Trojan.

Non so che cosa fare 

Grazie.

V.

[mau_develop]

probabilmente il problema sta in qualche files che non c'è nel pacchetto joomla, per cui non  viene sovrascritto, l'unica se non sei pratico è reinstallare.

Inoltre fai girare un antivirus poichè molto probabilmente la causa di quell'infezione sei tu.

M.

[loky62]

Ciao, grazie per la risposta.

In verità é vero che non sono praticissimo ma ho fatto 6 siti con joomla e lavoro nell'informatica da un pò di anni .... pensa programmavo in assembler !!.

Fammi capire meglio i tuoi suggerimenti e magari dammene degli altri più precisi perché sono abbastanza disperato.

Cosa significa reinstallare ? Perdo tutto il lavoro (6 mesi) fatto per costruire il sito ? é l'equivalente di formattare l'hard disk ? Spero di aver capito male.

Per l'antivirus é la prima cosa che ho fatto.  Il mio portatile é pulitissimo. Ma si può fare girare l'antivirus sul server del provider ?

Se scarico in locale tutto il sito e faccio una ricerca per individuare il malware cosa devo cercare ? La stringa http ? Oppure quel login.zone ?
 
Dai, dammi una mano !!!

V



M.

[mau_develop]

devi cercare files non di joomla,... quali? boh?! dove boh?!

probabilmente nelle index.html, nei files defines, nelle immagini, nei contenuti.

non è semplice può essere in un posto solo o spezzettato in più files

se reinstallando perdi tutto dipende se anche il database è compromesso visto che tutti i contenuti sono lì, il resto lo puoi pure reinstallare e il template controllare e riusare... non so, difficile aiutare sei tu che devi trovare il problema perchè sei tu che vedi  i files.

M.

[loky62]

Quindi, se non dovessi riuscire a trovare l'animale cercando a caso tra i files non di joomla, potrei fare così:

1. backup del DB
2. salvo la directory del template
3. salvo la directory dei documenti
4. cancello tutto file e db
5. reinstallo la 1.5.21
6. faccio il restore del DB
7. ripristino la directory dei documenti
8. ripristino la directory del template

Ma l'animale potrebbe stare nei documenti e senz'altro sta qualcosa nel template. Come le controllo ?

... e se ti dessi le credenziali me la daresti una occhiata ?

[mau_develop]

... e se ti dessi le credenziali me la daresti una occhiata ?
------------------------------------------------------------------------------
non posso

Ma l'animale potrebbe stare nei documenti e senz'altro sta qualcosa nel template. Come le controllo ?
-----------------------------------------------------
la procedura che hai descritto è esatta ( se ti fa sentire meno solo lo faccio anch'io se capita, è l'unico modo con un minimo di garanzia)

Ovvio che controllare nel template e nei documenti non dovrebbe essere così complicato poichè i files non dovrebbero essere molti... è fare qs lavoro con joomla che è impossibile, ha più di 3000 files, e si può solo contare su una certa probabilità che si trovi quì piuttosto che la.

D'altronde se riparare fosse semplice sarebbe inutile continuare a dire di fare i backup e aggiornare le estensioni oltre che al core,  che sono L'UNICA  vera sicurezza.

M.

[loky62]

..... e se l'animale fosse nel DB ?

[mau_develop]

anche quello è possibile anche se non probabile, almeno ... in tutti i casi che ho visto è successo solo una volta ma deve essere stato inserito da db.

quell'infezione riguarda l'ftp e da quello che solitamente viene modificato direi appunto che è improbabile la compromissione del db.

Io piuttosto insisto su scansioni approfondite sul pc, avviandolo in modalità provvisoria e staccato dalla rete.
Bisognerebbe passarlo magari con 2 diversi av.

M.

[loky62]

Mau, dopo aver fatto la scansione con altri antivirus senza segnalazioni ho contattato il provider e sembra che mi abbiano cancellato il Trojan.
Posto la loro risposta che potrebbe servire a tutti.
Se noti che sia errata o che non potevo postarla cancellala pure.
Grazie ancora.
V.

Ecco la risposta del provider al quale ho chiesto aiuto:


Gentile cliente,
in merito alla sua segnalazione abbiamo eseguito una bonifica dei files eliminando il codice malevolo.

Dalle nostre analisi riteniamo che la causa siano Trojan che provvedono ad infettare il Client per effettuare lo "stealing" dei dati sensibili quali dati di accesso Ftp e Carte di Credito per poi utilizzare questi ultimi per infettare altri pagine e diffondere ulteriormente il Trojan.

Tra questi Trojan si denotano "Zeus" e "Gumblar" e "Koobface" dei quali potrà trovare informazioni dettagliate ai seguenti links di note società di Sicurezza:

http://vil.nai.com/vil/content/v_143802.htm
http://www.bitdefender.com/VIRUS-1000496-en--Trojan.Spy.Zeus.W.html
http://www.symantec.com/security_response/writeup.jsp?docid=2010-011016-3514-99

http://en.wikipedia.org/wiki/Zeus_%28trojan_horse%29
http://en.wikipedia.org/wiki/Gumblar
http://it.wikipedia.org/wiki/Botnet
http://it.wikipedia.org/wiki/Koobface

Come si riscontra da tali link questi Malware infettano i Pc dei Client e provvedono a rubare i dati di accesso Ftp e in un secondo momento ad utilizzarli in massa per effettuare iniezioni di codice al fine di infettare il maggior numero di siti così da propagare la diffusione del Malware. Teniamo a sottolineare che i Trojan di ultima generazione quali quelli indicati non sono rilevati dai maggiori Antivirus poiché utilizzano tecniche di infezione che modificano il "kernel" del sistema operativo rendendo loro stessi invisibili.

http://news.softpedia.com/images/news2/Poor-Hooks-Implementations-Leaves-Most-Antivirus-Products-Vulnerable-3.jpg

All'url indicato potrà trovare una lista di tutti i maggiori AntiVirus vulnerabili a tali generi di Malware.

"...The virus will find FTP clients such as FileZilla  and Dreamweaver and download the clients' stored passwords. It also enabled promiscuous mode on the network card, allowing it to sniff local network traffic for FTP details. It is one of the first viruses to incorporate an automated network sniffer...
...sing passwords obtained from site admins, the host site will access a website via FTP and infect the website...."

Da tali informazioni e dalle verifiche effettuate riteniamo che la problematica da lei riscontrata scaturisca da tale infezione la invitiamo gentilmente ad effettuare una approfondita scansione delle postazioni da lei utilizzate per gestire il suo sito con il seguente Removal Tool:

http://www.novirusthanks.org

Qualora tale software individui infezioni nella sua postazione la invitiamo gentilmente a fornirci i risultati e ad indicarci il nome del Malware/Trojan individuato così da avere maggiori informazioni al riguardo.

Una volta effettuata tale pulizia la invitiamo ad effettuare un cambio password dei dati di accessi così da avere la certezza che non siano tra quelli utilizzati da coloro che hanno creato tale Botnet.
 
La nuova Password deve mantenere i seguenti criteri:
- lunghezza compresa fra 8 e 13 caratteri;
- formato alfanumerico (deve quindi contenere sia lettere che numeri)
- diversa dalle password utilizzate in precedenza

Oltre ciò raccomandiamo di effettuare le consuete operazioni per mantenere sicuro il proprio Pc aggiornando costantemente i Software Antivirus e AntiMalware utilizzati.

Restiamo a disposizione per eventuali chiarimenti.

Distinti saluti.
=====================

[loky62]

Per completezza ecco la mia richiesta di aiuto al provider:

Salve, ho subito un attacco al sito da parte di hacker in data 20/10/2010 alle ore 18.00 circa. Avevo la versione 1.5.20 di joomla che ho aggiornato alla 1.5.21
Ho verificato che sono stati modificati quasi tutti i files index.html inserendo delle righe errate.
Ho ripristinato il sistema ma il sito va su cercando di lanciare un malware che non riesco ad eliminare .
Scorrendo i backup mi sembra che tutte le copie abbiano subito la modifica in data 20/10/2010.
Potete aiutarmi a trovare delle copie di backup che non hanno subito alcuna modifica in modo da cercare di ripristinare il sito ?
Grazie.

[mau_develop]

provvedono a rubare i dati di accesso Ftp e in un secondo momento ad utilizzarli in massa per effettuare iniezioni di codice al fine di infettare il maggior numero di siti così da propagare la diffusione del Malware.
-----------------------------------------------------------------------------------------------------------------

...appunto, questo succede sul tuo pc, per quello insisto con gli antivirus.

Ottima la risposta del provider, completa e dettagliata, da imitare invece di mandare al diavolo il cliente perchè ha servizi da 20 euri non capendo che il danno è per entrambi e collaborare è l'unica via.

M.