Strano codice che compare in più parti del sito

[Angaelus]

Buongiorno a tutti.
Il problema che ho riscontrato e con il quale sto lottando da diversi giorni è il seguente.
Sito: http://www.latorrenera.com
Joomla: 1.5.26
Componenti installati: Akeeba Backup, Kunena Forum, Jupgrade, Linkr, xmap


Ho resettato completamente il sito, sostanzialmente rifacendolo da capo in remoto per pulirlo di tutto ciò che era eliminabile. Rimesso online capita che dopo un paio di ore, compare un pezzo di codice in diverse parti del sito. Il codice in questione è: document.write('');" />. Come potete vedere, compare nella home del sito nell'intestazione e in alcuni moduli (Cerca nel sito, Sondaggi...). Pensavo fosse un problema di template, quindi l'ho rifatto da capo e reinstallato. Per le solite due ore tutto procede bene, poi improvvisamente torna quel codice.
Infine, oggi ho notato che non compare solo nel front-end, ma anche nella parte amministrativa. Vi allego l'immagine del login al pannello amministrativo. Questo mi fa intendere (se non erro) che non è un problema di template, ma c'è qualcos'altro che non va.
Ho provato a togliere e reinstallare tutti i componenti, ma non cambia nulla, mi da sempre lo stesso problema. Avete qualche suggerimento?

[allegato eliminato da un amministratore essendo vecchio più di un anno]

[joomla_fan]

Ciao.

Credo tu possa avere un problema simile a questo:

http://forum.joomla.it/index.php/topic,167641.msg754775.html#msg754775

[maicolstaip]

Ciao Angaelus,
ti sono entrati di sicuro.

[Angaelus]

Ciao maicolstaip Sempre un piacere ritrovarti!


Mh... pensavo anche io una cosa del genere... ma a questo punto cosa mi consigli di fare?

[maicolstaip]

Ciao,
segui questo post e con un po' di sbattimento risolverai:
http://forum.joomla.it/index.php/topic,117151.0.html

[Angaelus]

Grazie mille per il suggerimento e per lo spostamento.


Dunque, ho seguito la guida suggerita da maicolstaip. Rifatto tutto da capo, scansionato file di backup, rimesso nuovo Joomla, installato nuove estensioni aggiornate e rimesso tutto online.
Provato tutto in locale e tutto funzionante a dovere.
Eseguo installazione in remoto e tutto procede bene... ma ecco che dopo un istante ricompare quello stramaledetto codice. Non più nell'intestazione del sito, ma solo in un paio di moduli.


Non so se può essere di qualche rilevanza, ma ho aperto il sito con chrome e ho selezionato "visualizza sorgente pagina". Spulciando nella finestra che si è aperta ho trovato il codice che ho messo in allegato (non mi fidavo a copiarlo qui :p). Si ripete sei volte, in posizioni diverse.
E' normale?
Qualche idea in merito?

[allegato eliminato da un amministratore essendo vecchio più di un anno]

[maicolstaip]

Ciao Angaelus,
innanzitutto bravo, sia per il lavoro che hai fatto nel tuo sito, sia per la questione dell'allegato del precedente post.

A questo punto, ti suggerisco di chiedere all'hosting, se sei su server condiviso, può darsi che entrino attraverso altri sistemi che tu non puoi controllare.

Attendi anche qualche altro suggerimento di qualcuno che ne sappia più di me, che ovviamente non sono onniscente

Ciao!

[mau_develop]

...ma non è qualcosa che installi con qualche estensione?
...qualche sviluppatore che impone quello per la versione free dell'estensione?
hai provato disabilitando tutto ciò che hai installato in + e rimettendo un template originale se quella scritta rimane?

M.

mmmhh no, purtroppo è codice iniettato, quello che c'è di buono è che sembra spam, nessun malware.

[Angaelus]

Grazie mille per il complimento e per i suggerimenti.


Allora, oggi aprirò un ticket per richiedere al mio host qualche info in merito.


Per quanto riguarda mau_develop, ti dico che sul mio sito sono stato molto molto molto stretto come estensioni. Le uniche che ho installato sono:
xmap
Kunena
Akeeba Backup
Linkr


Nessuno di questi, a meno che non abbia letto bene, impone nulla. E se così fosse, domandina, non dovrebbe comparire il problema anche in locale? O sbaglio?


Ora sto facendo un'altra prova, rifacendo dal principio il tutto e provando ad impostare, appena uppato il sito, i permessi cartelle diversi da quelli che c'erano.
Più di così, non saprei davvero cosa fare

[nettuno75]

un ulteriore prova la puoi fare..
prova ad individuare quello script nel file index.php del tuo template.
utilizza firebug con il tuo browser, la dove dove ti rilevera quel codice lo andrai ad eliminare.
sempre al file index.php dai i permessi 444 cosi se il malevolo entra da qualche estensione o plugin  buggato non avra modo di operare...

a me e successa la stessa cosa,il BAST..DO a sfruttato una falla che era presente nel plugin jce mediabox.

[subcarlos]

Ciao Angaelus,
innanzitutto bravo, sia per il lavoro che hai fatto nel tuo sito, sia per la questione dell'allegato del precedente post.

A questo punto, ti suggerisco di chiedere all'hosting, se sei su server condiviso, può darsi che entrino attraverso altri sistemi che tu non puoi controllare.

Attendi anche qualche altro suggerimento di qualcuno che ne sappia più di me, che ovviamente non sono onniscente

Ciao!

Domanda: se questi file strani sono comparsi anche su un'altra cartella dell'hosting condiviso, è probabile che sia per via ftp?

[Sansoweb]

Ciao potresti avere lo script su tutte le pagine index.php e index.html
Ci sono stati molti problemi in queste settimane per colpa di un brutto virus che gira....
se guardi gli altri post siete tutti più o meno nella stessa situazione...
cioè virus sul pc che si connette sul ftp tramite magari filezilla ed infetta tutto...
se non pulisci il pc ogni volta che carichi qualcosa lo infetti nuovamente....
ciao

[subcarlos]

Ah ok, grazie della dritta, stavo cominciando a pensare che il problema provenisse da problema che hai spiegato tu, perchè ho controllato tutti gli aspetti che sono spiegati nella guida sulla sicurezza, e dato che il pc su cui mi trovo è pulito e di recente installazione, penso che il problema provenga da qualcuno dei pc degli altri amministratori. Grazie mille!

[Sansoweb]

figurati ti consiglio di fargli usare combofix e di non fargli salvare le credenziali di accesso ai server...

[subcarlos]

Io avevo usa Mbam, non va bene? Ah dici addirittura di non salvare la pass su filezilla? Bella storia, chi se la ricorda a memoria 

[Sansoweb]

    ti capisco però per sicurezza.......

[Angaelus]

Allora ragazzi... la disperazione è arrivata ad un punto critico.


Ho fatto tutto, ma davvero tutto quello che mi avete detto. Non riesco in nessun modo a mantenere il mio sito libero da codice strano e dall'avviso di malewere. Non so più davvero dove sbattere la testa.


Il backup che ho è pulito (almeno da quello che posso capirci io), il sito rimane perfetto e funzionante per cinque/sei giorni, dopodichè ci risiamo... Non posso cancellare e reistallare tutto il sito una volta a settimana.


Cosa posso fare? Che qualcuno mi aiuti, per favore... altrimenti mi vedrò costretto a cancellare tutto e via.


Grazie a tutti per l'attenzione e per l'aiuto.

[maicolstaip]

Ciao Angaelus,
l'infezione riguarda i file .js

Da qui risultano infetti

plugins/system/mtupgrade/mootools.js
media/system/js/caption.js
templates/torrenera/script.js
templates/torrenera/jquery.js
media/com_acymailing/js/acymailing_module.js
modules/mod_homepageslideshow/swfobject.js

Verifica i files,
verifica se le estensioni sono aggiornate, mi pare che tempo fa fu scoperta una vulnerabilità in vecchie versioni di acymailing,
verifica di non avere nel sito un file .pl, magari nell'eventuale cartella backup o nella cartella cgi-bin.
In caso, cancellalo senza pietà che è lui che fa partire l'infezione. Se non lo elimini, ti troverai sempre nella stessa situazione.

Altro non saprei suggerirti...

Ciao!

[Angaelus]

Grazie maicol


Allora, ho scartabellato ogni cartella del sito, comprese quelle dell'hosting e non ho trovato nulla, nessun file .pl.


Per quanto riguarda i file che risultano infetti, hai modo di consigliarmi un metodo di verifica? Li ho scaricati e aperti, ma sono millemila righe di codice...


Per le versioni, tolto akeeba backup (che sul sito c'è scritto chiaramente di prendere la versione che ho io per joomla 1.5), tutte le estensioni sono aggiornate all'ultima versione.


Edit: una domanda da perfetto ateo. Ma com'è possibile che un backup pulito, si infetti nel giro di 5/6 giorni, nonostante tutte le contromisure prese?

[maicolstaip]

Ciao Angaelus,
per i files .js vedrai che il codice l'hanno appeso alla fine, dovrebbe essere facile individuarlo.

Per tutti gli altri files, in generale, puoi usare un programma che ti permette di cercare una data stringa di caratteri su tutti i files di una cartella.
Notepad++ ti permette di farlo.
https://www.google.it/search?q=notepad%2B%2B+find+in+files

Ciao!