Nettoyer mon ftp suite à phishing
hdhedval
Messages postés
1
Statut
Membre
-
Malekal_morte- Messages postés 178136 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention -
Malekal_morte- Messages postés 178136 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention -
Bonjour,
Mon but : Je suis à la recherche d'un moyen de nettoyer mon ftp de pages de phishing déposées par des hackers.
Je viens d'avoir une alerte de la part de mon hébergeur (Nuxit) pour une page de phishing présente sur mon site. (ils ont donc coupés les accès http et ftp pour me forcer à les contacter rapidement).
La page de phishing était dans un dossier de mon site géré sous Joomla 157.
Une fois que j'ai eu de nouveau accès à mon ftp j'ai fais le ménage comme j'ai pu
- modification des credentials d'accès à mon ftp
- j'ai effacé la page de phishing
- modifié le chmod de certains dossiers
- allé dans les préférences du site en enlevant l'autorisation d'accès au ftp par joomla
- limitant l'upload des fichiers (en http) à 1 byte
...mais bon je ne suis pas convaincu que cela suffise car en browsant mes répertoires j'ai remarqué qu'il y avait d'autres pages de phisihing (probablement dormantes mais qui pouvaient se réveiller lorsque le hacker en aurait besoin).
je pense donc que mon action n'est pas suffisante et aurais besoin de vos conseils sur comment nettoyer mon ftp de manière définitive, comment protéger mon ftp... pour l'instant je suis en train de télécharger en local le contenu de mon ftp pour en browser le contenu plus facilement et ainsi repérer les fichiers.
>> quelles sont les manips à suivre pour nettoyer un ftp ? y a t-il des softwares (en ligne ? et même payant) ou autre ? j'avoue que c'est la première fois que je rencontre ce pb et suis un peu décontenancé !!
En tout cas je ne sais pas si c'est lié à joomla (ou plutôt ses plugins (alors que j'ai pris que des bien référencés et validés)) mais je ne suis pas rassuré : sur mon ftp j'ai plusieurs cms différents et il n'y a que joomla impacté (wordpress, phpnuke et du développement personnel)...
D'avance grand merci pour votre aide et conseils avisés et au plaisir de vous lire :-)
Bien cordialement
H
Mon but : Je suis à la recherche d'un moyen de nettoyer mon ftp de pages de phishing déposées par des hackers.
Je viens d'avoir une alerte de la part de mon hébergeur (Nuxit) pour une page de phishing présente sur mon site. (ils ont donc coupés les accès http et ftp pour me forcer à les contacter rapidement).
La page de phishing était dans un dossier de mon site géré sous Joomla 157.
Une fois que j'ai eu de nouveau accès à mon ftp j'ai fais le ménage comme j'ai pu
- modification des credentials d'accès à mon ftp
- j'ai effacé la page de phishing
- modifié le chmod de certains dossiers
- allé dans les préférences du site en enlevant l'autorisation d'accès au ftp par joomla
- limitant l'upload des fichiers (en http) à 1 byte
...mais bon je ne suis pas convaincu que cela suffise car en browsant mes répertoires j'ai remarqué qu'il y avait d'autres pages de phisihing (probablement dormantes mais qui pouvaient se réveiller lorsque le hacker en aurait besoin).
je pense donc que mon action n'est pas suffisante et aurais besoin de vos conseils sur comment nettoyer mon ftp de manière définitive, comment protéger mon ftp... pour l'instant je suis en train de télécharger en local le contenu de mon ftp pour en browser le contenu plus facilement et ainsi repérer les fichiers.
>> quelles sont les manips à suivre pour nettoyer un ftp ? y a t-il des softwares (en ligne ? et même payant) ou autre ? j'avoue que c'est la première fois que je rencontre ce pb et suis un peu décontenancé !!
En tout cas je ne sais pas si c'est lié à joomla (ou plutôt ses plugins (alors que j'ai pris que des bien référencés et validés)) mais je ne suis pas rassuré : sur mon ftp j'ai plusieurs cms différents et il n'y a que joomla impacté (wordpress, phpnuke et du développement personnel)...
D'avance grand merci pour votre aide et conseils avisés et au plaisir de vous lire :-)
Bien cordialement
H
4 réponses
-
Salut,
Je pense que le mieux c'est que tu récups tout.
Tu cherches par date de fichiers et autres.
Tu nettoyes.
Tu réups tout sur ton FTP.
Si tu veux vérif si ton PC est pas infecté (qui aurait permis de récup tes identifiants FTP) :
Télécharge et installe Malwarebyte : https://www.malekal.com/tutoriel-malwarebyte-anti-malware/
Mets le à jour, fais un scan rapide, supprime tout et poste le rapport ici.
puis :
Tu peux suivre les indications de cette page pour t'aider : https://www.malekal.com/tutorial-otl/
* Télécharge http://www.geekstogo.com/forum/files/file/398-otl-oldtimers-list-it/ sur ton bureau.
(Sous Vista/Win7, il faut cliquer droit sur OTL et choisir Exécuter en tant qu'administrateur)
* Lance OTL
* Sous Peronnalisation, copie-colle ce qu'il y a dans le cadre ci-dessous :
netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE\%Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%temp%\.exe /s
%SYSTEMDRIVE%\*.exe
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
/md5start
explorer.exe
winlogon.exe
wininit.exe
/md5stop
CREATERESTOREPOINT
nslookup www.google.fr /c
* Clique sur le bouton Analyse.
* Quand le scan est fini, utilise le site http://pjjoint.malekal.com/ pour envoyer les rapports.
Donnes le liens pjjoint ici ensuite pour pouvoir être consultés.
-
Bonjour
Merci pour ta réponse mais ta réponse me semble t-il plus adapté pour traiter un pb de malware sur PC plus que pour le contenu du ftp.
J'ai donc résolu mon problème autrement :
1- effacement des pages, dossiers et archives infectées (repéréées par un scan en local du contenu de mon ftp)
2- monitoring de tout mon ftp quotidien grâce à un petit dev en php qui repère toutes les pages crées ou modifiées la veille. (le résultat m'est envoyé automatiquement par email si et seulement si le nombre de fichier/dossier dépasse 1).
Ma crainte est que le pirate modifie la date de création ou modification pour effacer les traces de son méfait !
En tout cas merci pour ton aide !
cdlt
Hdh -
Merci pour ta réponse mais ta réponse me semble t-il plus adapté pour traiter un pb de malware sur PC plus que pour le contenu du ftp.
Oui mais.... : https://forum.malekal.com/viewtopic.php?t=22837&start=
Même si c'est bien entendu pas la seule manière de récupérer des identifiants.
-
vidéo très intéressante !
heureusement mon pc est bien surveillé (je scan souvent mon pc avec différents outils)
merci pour le conseil !
Bonne soirée
H
