con la versione 1.5 non mi è mai successo nulla di tutto ciò! anche se ripristinassi il sito con un backup, un minuto dopo, potrei avere la stessa probabilità di attacco di adesso?
Ciao
come dicevo in un mio precedente post non e' questione solo di joomla, ma e' piu' probabile una intrusione da parte del hoster (anche se non lo ammettera' mai per ovvi motivi).
Le versione piu' aggiornati di joomla sono chiaramente da preferire, ma il il malware riconosce l'ambiente nel quale gira e installa .htaccess e default.php nel core di joomla.
Siccome come dicevo purtroppo ne ho avuti diversi di siti infettati posso affermare che il malware si comporta diversamente a seconda del tipo di instalazione di joomla trovato.
Nel caso di joomla che e' quello che ci interessa qui va d intaccare le directory gia' elencate ad inizio post e anche molte sotto directory
ad esempio non solo :
components/
ma anche:
components/com_content
components/com_news_feeds
ecc.
stessa cosa per plugins, modules, includes, ecc.
Concordo che non si riesca probabilmente a scoprire dove e come sia entrato e che per un utente con un solo sito convenga potare (ovvero cancellare tutto e riscrivere) e ripristinare un backup sicuro, ma nel mio caso sarebbe impossibile da fare, considerando che l'infezione continua, non su tutti i siti infettati per fortuna, anche nei giorni successivi.
Ho optato quindi per una rimozione chirurgica tramite script in php da lanciare sul server.
Ci mette qualche secondo e pare funzionare.
Non ho lavorato su una funzione recursiva che mi cercasse i files default.php perche' fanno parte del core joomla specialmente quelli dentro alle dir tmpl e nemmeno cercando i files htaccess in quanto alcuni potrebbero essere messi appositamente in alcune aree riservate dei vari siti.
Quindi ho elencato tutto a mano (un lavoro da certosino) con un semplice unlink senza alcun controllo, tanto se il file non c'e' restituisce un errore, ma non muore nessuno.
Se qualcuno lo vuole e le policy del forum lo permettono lo pubblico qui. (il codice e' visionabile per scoprire eventuali errori).
Altrimenti, passo in ascolto e vi auguro buona giornata.
