[RISOLTO] Possibile Malware - come eliminarlo..

[squalogu]

ciao, su questo sito link mentre si scorre la pagina o al click su qualche link... capita che vengo reindirizzato su altri siti... come posso verificare questa anomalia e eliminare il problema?

[alexred]

Ciao squalogu,
forse il problema è sul tuo PC,
io ho provato ad aprire il sito e scorrere in basso ed accedere alla pagina contatti e non mi ha reindirizzato su altri siti.

[squalogu]

il problema si presenta solo su smartphone e solo su quel sito...

[danielecr]

Se puo' dare una mano io ho problemi di popup quando clicco o col destro o col sinistro del mouse sul banner dei cookie (con uno user agent android), quindi inizierei a guardare lì!

[danielecr]

Mi sembra lo stesso malware che è descritto qui:
https://www.gavick.com/forums/quark/malware-in-template-source-54291

Anche il tuo sito carica get-js.js

Il codice qui:
http://s3-cdn.com/js/get-js.js

Non mi sembra un buon codice..ma magari mi sbaglio..

EDIT: no, non mi sbaglio, se guardi al fondo potrai leggere thebestoffer|gq (parte del malware)
Mi sembra che comunque il tutto parta da qui:
https://s3-eu-west-1.amazonaws.com/assets.cookieconsent.silktide.com/1.0.7/plugin.min.js

plugin.min.js va poi a pescare get-js.js
"s3-eu-west-1.amazonaws.com" non è nuovo a distribuire malware.

Potresti provare a rimpiazzare la sorgente di plugin.min.js e style.min.css (anche se il css non dovrebbe dare problema alcuno) con questi che allego, trovati altrove, che puoi metterti direttamente sul server (questi non sono packed, quindi leggendo il codice puoi vedere che non c'è codice maligno)

[squalogu]

epperò!




rimpiazzo il codice che mi hai inviato?

[squalogu]

ok, ho disinstallato il plugin cookieconsent e non so dove caricare quei file che mi hai allegato.. in plugin...dove?

[danielecr]

Ciao squalogu,
dovresti riuscire ad individuare in che file viene richiamato <script type="text/javascript" src="https://s3-eu-west-1.amazonaws.com/assets.cookieconsent.silktide.com/1.0.7/plugin.min.js">

Potrebbe essere nell'index del template, oppure nel componente dei cookie.

A questo punto potresti alternativamente:

1- disattivare il componente dei cookie, in questo modo non dovrebbe più venire richiamato il file da s3-eu-west-1.amazonaws.com e gestire i cookie con un altro componente, oppure
2- individuare il file di cui dicevo prima e modificare la stringa <script type="text/javascript" src="https://s3-eu-west-1.amazonaws.com/assets.cookieconsent.silktide.com/1.0.7/plugin.min.js"> in <script type="text/javascript" src="https://tuosito.com/plugins/plugin.min.js"> e caricare il file plugin.min.js che ho allegato nella cartella del tuo server /plugins/ (allo stesso modo il css); la cartella può chiamarsi plugins o con il nome che vuoi ovviamente; in questo modo viene richiamato il file js pulito e non quello che risiede su s3-eu-west-1.amazonaws.com; nota che forse la versione del file allegato è differente dalla 1.0.7 che è indicata nel link originale, è da provare; alternativamente potresti cercare altrove i files ovviamente puliti della 1.0.7 (se li trovi) e metterli al posto dei miei.

[a.emax]

grazie per il post