Attacco hacker? Che faccio?

[infermieriattivi]

Salve
Da tempo ho visto che il sito aveva dei problemi e di punto in bianco non era visibile.
E mi lamentavo con l'host che forse non c'entra nulla.
Ho installato da più di un mese SmarterStat e ho pensato ad uno scherzo e non ci davo molto peso perchè vedevo cose del tipo ieri 19.000 visite, 15.000 pagine viste e pensavo fosse configurato male e quindi mi sono lamentato con l'host.
Che con tanta pazienza mi ascolta e cerca di spiegarmi il funzionamento.
Ho notato anche che ho BingBot con 450.000 pagine viste e oltre 6 GB di banda usata.


Quindi guardo il log errori, ce ne sono molti, ma mi colpisce un indirizzo IP che punta sempre al lato admin allora ieri sera l'ho bannato con JomDefender mettendo anche una password dal lato admin.
Il risultato è che oggi c'è ancora.


[Mon Jun 08 10:59:04 2015] [error] - infermieriattivi.it - [client 134.249.55.134] ModSecurity: Access denied with code 400 (phase 2). Pattern match "^\\\\w+:/" at REQUEST_URI_RAW. [file "/etc/apache/modsecurity/modsecurity_crs_20_protocol_violations.conf"] [line "77"] [id "960014"] [msg "Proxy access attempt"] [severity "CRITICAL"] [hostname "www.infermieriattivi.it"] [uri "/administrator/index.php"] [unique_id "VXVZWH8AAAEAAFwifZcAAACA"]

Posso supporre fra i dati statistici e il log di essere sotto attacco?
E che tutti gli indirizzi IP che puntano al lato admin siano tentativi di intrusione?

[giusebos]

La prima cosa da fare per problemi di sicurezza è leggere la discussione in evidenza, altrimenti rischiamo solo di parlare del niente.

[infermieriattivi]

Nel senso di usare il motore di ricerca?
Grazie ma alla prima domanda la risposta è stata questa:

Si è verificato un errore!

La tua ultima ricerca è stata effettuata meno di 5 secondi fa. Riprova più tardi.


Quindi ho aperto il post.

Ho visto adesso che è stato spostato il post e  c'è una sezione sicurezza nidificata in un altra sezione...
Adesso leggo i post in alto di carlodamo.

[infermieriattivi]

Ciao
Ho letto http://forum.joomla.it/index.php/topic,117151.0.html
ottimo post chiaro e tanquillizzante.
La possibilità che siano dei "cinni" che si vogliono divertire e che comunque se bloccati non fanno danni è una buona notizia.
...Però mi hanno tirato giù il sito diverse volte.
Mi trovavo a mezzanotte nel lato admin e non riuscivo a caricare il sito che andava offline anche per poco e non avevo fatto nulla di strano.
Altri offline me ne sono accorto anche di giorno da qualche mese e non capivo.
Poi da queste statistiche mi trovo BingBot che viene sparato sul sito a casaccio.
Quindi devo trovare qualche rimedio per scoraggiarli un minimo.

[steganoga]

il miglior sistema per scoraggiarli è ripulire come indicato nel post e tenere tutto aggiornato.
Il modo più sicuro è rifare daccapo.

[infermieriattivi]

Si ho aggiornato tutto.
Forse un danno l'hanno fatto non mi funziona la mail del sito non va come smtp o phpmail.

[steganoga]

no, se rimane qualcosa che non va è segno che non hai fatto ESATTAMENTE i passi corretti per il ripristino.
Joomla non è vulnerabile allo stato attuale quindi non c'è motivo per cui tu abbia problemi

[infermieriattivi]

Ciao
so che sicuramente non va bene, però ho fatto un installazione ex novo.
Con tutti i programmi che avevo nel sito sotto attacco, quindi ho puntato il file config sul database vecchio.
Poi ho messo usando il lato admin del sito, un nome utente e password sulla cartella administrator.
Dal sito la registrazione è disabilitata.


Quindi direi che dovrebbero lasciar perdere...