Siti hackerati

[alepar]

Ciao ragazzi
Quest'oggi mi è capitata una cosa bellissima: mi hanno hackerato 4 siti (istituzionali)!
Appariva una pagina nera con una strana musica e quello che visualizzavo meglio che non lo dico...

Mi sono messo in contatto col provider che mi dice di aver ripristinato una index di uno dei siti, ma stranamente sono poi ripartiti tutti!
I file sembrano puliti, comunque adesso li scarico e li scansiono uno per uno.
L'unica cosa strana (che peraltro mi ha segnalato il provider come componente malevolo) è l'intrusione di un componente, per di più per la versione 1.5 'NinjaXplorer'.

sapete qualcosa a riguardo, potete darmi consigli?
Grazie tante

[steganoga]

tutti i consigli necessari stanno nei post in evidenza.

imho, siti bucati in J1.5 sono da rifare completamente a manina partendo dall'ultima 3.x

[alepar]

I siti in questione sono nella versione 2.5.28, tutti i componenti aggiornati, rigorosamente controllati e backup giornalieri.
Il componente NinjaXplorer non l'ho mai installato e nemmeno lo conoscevo.

[steganoga]

e backup giornalieri
------------------------------
probabilmente automatici e conservati sul server... altrimenti non capisco la difficoltà a ripristinare.

prova su un dominio free a vedere se succede anche lì (dopo pulisci ovviamente) .. magari è un hosting "bizzarro"

[alepar]

nessun backup automatico conservato sul server, ma sullo spazio FTP che scarico sul PC ogni giorno.


Infatti non ho alcun problema a ripristinare, volevo solo capire le cause di tale attacco anche se prese le dovute precauzioni.

[steganoga]

si scusa, avevo capito male io

capire la causa è possibile solo con i log del server .. se dici che tutto è aggiornato, non vi sono problemi noti (non noti può darsi)

[alepar]

Ma come cavolo ha fatto ad installarsi da solo quel componente... su 4 siti per di più!?   

[steganoga]

te lo sarai portato dietro da qualche upgrade, si sarà cancellato dal db ma non i files

[alepar]

Ho sempre utilizzato Joomla con il minimo indispensabile di estensioni esterne, quale upgrade mi avrebbe installato un componente di cui nemmeno conoscevo l'esistenza?
A me puzza il provider, non mi pare molto affidabile...

[steganoga]

si vabbè ma chi è che ti installa un sw bacato per bucarti il sito?! se ti può installare qualcosa vuol dire che ha già il controllo del tuo sito.

Te ne sarai dimenticato... lo avrà fatto qualcun'altro... sarà stato parte di qualche quickstart... ma i providers e gli hackers non installano estensioni

[alepar]

Non volevo intendere che il provider mi aveva installato il componente, ma che probabilmente è un colabrodo.
Per quanto riguarda il componente anomalo non so che dire, ma secondo te, avrei installato un componente per 1.5 sulla 2.5? Premetto che le credenziali le ho solo io e l'attacco è partito su 4 siti in contemporanea.
Vabè ciao