verwijderen van JS/Tenia.d trojan op CENTOS5 doos

[Kyra-emotion]

Hi,

Een van mijn servers is voorzien van het JS/Tenia.d trojan.
Nu hebben we wel inmiddels gezien dat het behoorlijk wat bestanden zijn die geinfecteerd zijn.
Heeft iemand ervaring met het verwijderen van JS/Tenia.d trojan van hun servers ?
Het is een Iframe script wat aan HTML pagina's word toegevoegd.
Zodra de bezoeker de betreffende pagina opent, krijgt hij gratis dit trojan virus.
Waarschijnlijk is het via een lek script in PHP/Joomla naar binnen gekomen.

[DiedX]

Als alle bestanden aangetast zijn zou ik eerst Joomla patchen. Weet je wel WELKE bestanden aangetast zijn? Als dat geen onderdeel uitmaakt van Joomla zelf, zou ik die terugzetten vanuit backup.

[Kyra-emotion]

Joomla is gepatched, en we kunnen wel bestanden terugzetten vanuit de backup, maar daarmee heb ik de oorzaak nog niet gevonden.
Zo'n beetje alle php pagina's en html pagina's op die server.

[bvankuik]

1) Gebruik sed met zoiets als: find ./ -type f -iname \*html -exec sed -i ’s/string1/string2/’ {} \;
2) Doe een recursieve grep op de directory met HTML bestanden.

Ik heb iets dergelijks ook zien binnenkomen via een gehackte FTP account (gebruteforced) op een Centos 4.zoveel bak. Dus gooi dat soort services ook dicht.

[Kyra-emotion]

Het is dus een bekend probleem.
Men komt binnen via /tmp

http://forum.joomla.org/viewtopic.php?f=432&t=329768&p=1432932

Inmiddels zijn we al een stuk verder met het oplossen. Met dank aan Ian.