Emergenza virus !!! (in cartelle html non joomla)

[Celebrindal]

Salute comunità, un amico mi ha segnalato che aprendo il mio sito www.legagstlbis.netsons.org riceve questo msg:

nome del file :http://www.legagstlbis.netsons.org/\{gzip}

nome malware : HTML:Script-inf

tipo malware :  Virus/Worm


versione VPS : 100311-0, 11/03/2010

rilevato con l'antivirus AVAST (quello che ha installato. Però sul mio pc non rilevo nulla, ho Avira Antivir e apre tranquillamente il sito. L'ho provato anche su un altro pc che ha NOD32 e pure si apre tranquillamente. Qualcuno può dirmi come controllare meglio?

Grazie.

[sudoku]

nessun problema. E' un falso positivo.

[Celebrindal]

che significa?

E cmq chi si collega ed ha questo msg non riesce ad entrare.

[vamba]

Hai seri problemi con un componente installato

[56francesco]

misteri di winsozz e dei suoi antivirus
con linux entro normalmente...
il sito è pure vuoto mi par di capire, prova con un template di joomla se poi va bene cambia template..

[vamba]

Niente misteri .... il componente per il fantacalcio sta sparando una serie infinita di trojan .... probabilmente contenuti nei file javascript ...
non è che per caso è un'estensione scaricata da vie traverse? 

[56francesco]

fantacalcio sta sparando una serie infinita di trojan

chi ci ricorda?
 

[vamba]

La cartella FCM sta sparando ......... cavalli di troia a RANDA 

[allegato vecchio più di un anno eliminato automaticamente]

[Celebrindal]

in tutto questo che deve fare? Il template è sempre lo stesso che prima non dava problemi.

Vi prego datemi consigli, e scusate se non rispondo subito ma sto per uscire per un impegno a cui non posso rinunciare. Ma almeno al rientro ho le risposte. Con Avira Antivir non ho segnalazioni di virus con cosa avete testato?

P.S.: se scarico tutto inlocale sul pc e scannerizzo?

MODIFICA: quale componente crea problemi. Le estensioni sono prese dal sito http://extensions.joomla.org/

[vamba]

ma sto per uscire per un impegno a cui non posso rinunciare. Ma almeno al rientro ho le risposte.

............... 
...e nel frattempo rimettiamo anche a posto la stanza? 

MODIFICA: quale componente crea problemi. Le estensioni sono prese dal sito http://extensions.joomla.org/

MODIFICA: dove si scarica la componente che crea la cartella fcm? ... non mi pare di averlo visto su quel sito li !

[Celebrindal]

nessuna componente è solo una cartella con dei file html che vengono richiamati.

Non c'è modo di scannerizzare il sito ed eliminare il virus?
Ma poi si tratta di un virus o cosa?

[56francesco]

solo una cartella con dei file html che vengono richiamati.

se non sono estensioni non commerciali di joomla non sono argomenti it in questo forum
chiedi a chi ti ha fornito quei files.
grazieeeee

[Celebrindal]

ma sono dei semplici codici html inseriti in unmodulo html che si crea con joomla. Fino a qualche giorno fa era tutto ok non è nulla di nuovo .......... 

[mau_develop]

qs mi fa diventare matto ffox

17:10:13.765[0ms][totale 0ms] Stato: pending[]
GET h t t p: // w w w.usfl ash map.com/comp onent/cdt_new/cdt2_1.swf Azione[LOAD_REPLACE  ] Dimensioni del contenuto[unknown] Mime Type[unknown]
   Richiesta dell'intestazione:
      Host[www.usflashmap.com]
      User-Agent[MIO]
      Accept-Language[it-it,it;q=0.8,en-us;q=0.5,en;q=0.3]
      Accept-Encoding[gzip,deflate]
      Accept-Charset[ISO-8859-1,utf-8;q=0.7,*;q=0.7]
      Keep-Alive[300]
      Connection[keep-alive]
      Referer[http://www.legagstlbis.netsons.org/]

M.

mi ha grabbato la sessione

questo forum.joomla:

Si è verificato un errore!
Sessione di verifica fallita. Prova a scollegarti, tornare indietro e tentare di nuovo.
Indietro

Vamba hai un pvt

si comprende qualcosa cercando con google la strana header lanciata

header LOAD_REPLACE

[Celebrindal]

scusa mau_develop ma non ci ho capito nulla .......... nn sono molto tecnico. Inoltre vorrei aggiungere qualcosa in merito a quanto scritto da 56francesco: oltre che nella cartella FCM anche alcune cartelle contenenti i componenti segnalano virus, inoltre le stesse cartelle FCM sono caricate su un altro mio sito e non c'è nessuna segnalazione di trojan o virus su questo sito.

Grazie.

[mau_develop]

in parole povere, qs che cos'è? perchè ti serve?

h t t p: // w w w.usfl ash map.com/comp onent/cdt_new/cdt2_1.swf

...ho messo gli spazi per non indicizzarlo.

M.

[Celebrindal]

non lo uso, è questo che mi provoca il virus?

[andrea]

Ragazzi, è passato un pò di tempo dalla mia prima segnalazione, fatta in altri post del forum ma non mi è stato dato aiuto.Da allora ho aggiornato il template e cambiato hosting e per 3 mesi non ho subito questi attacchi. Pochi giorni fà, segnalatomi dal redattore del sito in questione, hanno fatto un attacco dello stesso tipo di quello in questo post (almeno io penso) che è stato notificato da Avast come HTML:iframe-KT [trj]

il sito web è http:// w w w . rom pentru rom . eu

Dall'attacco ho notato la modifica con js e un div nascosto del file index.php (che allego).Nel frattempo sto aggiornando Joomla dalla .14 alla .15, ho eliminato il codice maligno dall'index.php e mi sono preoccupato di essere all'ultima versione di JOOMLAFAP.

Io sono orientato a dire che la vulnerabilità sta nel template, ma non sapendo sto facendo questi aggiornamenti che di certo servono.

Idee? Ho necessita di evitare questo tipo di attacco una volta per tutte.

PS: ho allegato la versione infetta dell'index.

[allegato vecchio più di un anno eliminato automaticamente]

[mau_develop]

ma gli altri post li leggi?

M.

[andrea]

si e vedo che consigli ovunque di aggiornare moduli/componenti/joomla etc. Ma speravo in risposte più mirate, visto che ho dato più informazioni a riguardo.