Attacco hacker - injection nel tag title

[keyascii]

Salve,
come descritto nell'oggetto, mi hanno attaccato un sito. Ne inventano sempre di nuove.
Joomla 2.5.27 ma costantemente aggiornato anche in precedenza. Gestione blog con k2.
Fortunatamente sembra non essere particolarmente invasivo se non per l'aspetto "ottico". Niente segnalazione di spam da parte dell'host o da google.
All'inizio di ogni pagina, prima di ogni cosa, compare un bel pezzo di testo con qualche link. Ovviamente il testo è a carattere ***grafico e i link chissà a quali siti puntano
Ecco un esempio dove non compare: http://anipitalia.com/archivio-coordinamento-donne.html
Ecco un esempio dove compare: http://anipitalia.com/archivio-coordinamento-donne/item/1750-8-marzo-donne-oltre-il-concetto-di-quote-rosa.html
Il primo link mostra tutti gli articoli della categoria k2 "Coordinamento donne".
Il secondo link, mostra un articolo della succitata categoria.
Non riesco a capire dove trovare il punto in cui sono entrati.
Il testo incriminato è "infilato" nel tag title e compare solo quando visualizzo il singolo articolo (com_k2).
Ci sto sbattendo la testa da più di un mese ormai. Sapete come aiutarmi o darmi qualche dritta?
Grazie mille anticipatemente

[allegato eliminato automaticamente dopo un anno]

[mmleoni]

certo che sto qui non ha proprio paura di nessuno 

io darei un occhiata tra i plugins...

ciao,
marco

[keyascii]

Ciao mmleoni...
intanto grazie per la risposta.
Si. Penso anch'io che sia tra i plugin ma dove lo cerco? Ne sono un po'.
Ho scaricato tutto il sito in locale e ho fatto una ricerca di testo all'interno di tutto il sito cercando l'id dello <span> incriminato ma non mi ha trovato nulla.

[mmleoni]

direi tra quelli system, ma senza mettere le mani sul codice non saprei che suggerire...

ora non si vede il sito:
"Fatal error: Class 'CBuser' not found in /[xxx]/components/com_k2/helpers/utilities.php on line 27"

[keyascii]

hehehe si scusa... li ho disabilitati tutti (segnandomi quelli già disabilitati) e li sto abilitando uno per volta perciò da quell'errore

[mmleoni]

emh... di solito questi test si fanno sulla copia locale

comunque sarebbe meglio disattivarne uno alla volta, verificare e riabilitarlo.

[keyascii]

Uhm... sembra che lo abbia scovato.
Ho scovato il problema e per ora sembra risolto ma resta il dilemma di come sia stato possibile installare un plugin, xcalendar per la precisione, senza che me ne sia accorto... e sono l'unico superadmin.
Il pèluginn incriminato quindi, è xcalendar. l'ho disattivato e per ora va. Intanto incrocio le dita.
Grazie mmleoni

[mmleoni]

su questo tipo di hack avevo scritto un articolo sul mio sito, dato che è più comune di quanto si pensi.
possono essere entrati in vari modi, uno dei più probabili è l'editor jce che ne ha fatti di danni 
ovviamente c'è da sperare che l'hacker non si sia tenuto qualche cavallino di troia.

io consiglio sempre questo
http://extensions.joomla.org/extensions/access-a-security/site-security/site-protection/12731
e ti consiglio di leggere bene anche la sezione delle modifiche da inserire in .htaccess


ultima cosa: il [risolto] va nel titolo del primo post, in modo che sia visibile senza entrare nel topic.

ciao,
marco

[keyascii]

Grazie mille mmleoni. Seguirò il consiglio