Ciao a tutti!
Scrivo questo veloce topic sperando che risulti utile a qualcuno che come me si è trovato da un giorno all'altro il sito hackerato.
Il problema è che il sito è accessibile solamente in maniera diretta, ovvero digitando l'indirizzo completo nel browser tramite la barra degli indirizzi.
Anche accedendo al sito attraverso link diretti presenti ad esempio in pagine facebook tutto è funzionante come sempre.
Invece se si prova ad accedere al sito da un qualsiasi motore di ricerca, come google ad esempio, il sito non è visibile!
Quello che si visualizza è una pagina totalmente bianca e nella barra degli indirizzi il seguente url:
*******
Non so come hanno fatto questi maledetti so solo che mi hanno fatto perdere mezza giornata e che molte persone mi hanno (per fortuna) contattato per dirmi che il mio sito era down. [figuraccia]
Qui vi elenco in maniera concisa tutto ciò che ho fatto per riportare il mio sito a lavorare alla perfezione:
1) Cambiare tutte le password e tutti gli username di accesso a qualsiasi cosa sia collegata al mio sito.
Esempi: email, pannello di controllo del hosting, joomla, FTP, phpmyadmin, ecc ecc ... !!!
2) Mettere il sito offiline
3) Connettersi al sito in ftp tramite filezilla e usare la funzione: Server -> Search Remote Files ...
4) Cercare il file: showthread.php
5) Eliminare TUTTI I FILE TROVATI
6) Modificare il file .htaccess presente nella root directory eliminado tutte le righe racchiuse nel target:
<IfModule mod_rewrite.c>
7) Rimettere online il sito web
Il virus sembra essere composto da due file:
showthread.php e .htaccess
che si propagano in svariate cartelle per essere raggiungibili in vari modi e quindi difficilmente eliminabili.
Nel primo ci sono le direttive da effetuare e nel secondo la redirect da aggiungere al sito.
Io avevo circa 70 files showthread.php !!!!!!
Eliminate se volete anche tutti gli .htaccess tranne naturalmente quello vostro principale che si trova nella ROOT DIRECTORY!
Quello dovete modificarlo eliminando le prime righe che hanno questa forma:
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteCond %{HTTP_REFERER} ^http://[w.]*([^/]+)
RewriteCond %{HTTP_HOST}/%1 !^[w.]*([^/]+)/\1$ [NC]
RewriteRule ^.*$ ******** [L,R]
</IfModule>
Per adesso, non avendo tempo, questi sono i passi che ho effettuato sul mio dominio per ripristinarlo.
Adesso tutto sembra essere tornato alla perfezione.
Il problema è che non ho capito la natura di questo attacco. Cioè come è stato eseguito.
Se è un problema della versione di joomla che ho e cioè la 1.5.26 oppure se è dovuto a qualche componente che ho installato o plugin che presenta qualche falla...
Per evitare che ciò avvenga di nuvo al più presto effettuerò una migrazione all'utlima versione stabile di joomla e riaggiornerò tutti i vari componenti e plugin.
Vi consiglio vivamente di fare lo stesso
Buona fortuna!
EDIT: Ho notato che al ripristino del mio sito tutto funzionava come prima tranne un componente .. ovvero
Exposè 4 -
è un componente che utilizzavo per mostrare una gallery di fotografie ..
credo che la falla sia dovuta a lui ...
e lavorandoci sopra vedo che cerca di connettersi ad un url del tipo:
******
Al più presto provvederò ad eliminarlo dal mio sito e a trovare un buon sostituto.
Se ci sono persone che ne sanno più di me per favore si facessero sentire!!!
Grazie a tutti!
Edit: Rimossi link malevoli.
