[JOOMLA] Probleem met terugkomende malware?

[Dannydekr]

Een website die ik beheer heeft sinds enkele maanden zeer grote problemen. Het begon allemaal met een malware infectie waarvan het leek dat ik deze succesvol had verwijderd. Alle checks die ik heb gedaan leken er op te wijzen dat de malware was verwijderd, en Google webmastertools leek dit te bevestigen.

Nu is het echter zo dat er om de zoveel weken een vreemd probleem optreedt welke is op te lossen door alle Joomla bestanden te vervangen. Althans, dat is de makkelijkste manier, omdat ik niet kan traceren in welk bestand het probleem optreed.

Het probleem dat dus om de zoveel tijd terugkomt is dat je in de backend geen enkele query meer kunt uitvoeren (sorteren, zoeken etc). Hierdoor weet ik dat er dus iets is aangetast, waarschijnlijk in verband met de eerdere malwareinfectie, want zou niet weten wat dit anders kan zijn?

Als ik alle Joomla bestanden heb vervangen, is het probleem weer enkele weken weg.

De maprechten zijn allemaal goed met CHMOD ingesteld, ik heb op de website zelf SH404SEF geinstalleerd welke ook voor de beveiliging zorgt. Joomla is sowieso up to date met de laatste versie van 1.5 (1.6 of 1.7 is nog niet mogelijk ivm afhankelijk van bepaalde componenten).

De vraag is nu: hoe kan ik dit probleem voor eens en voor altijd oplossen? Is het een bekend probleem? Of moet ik bij de hostingprovider zijn?

[MuddyMagical]

Eigenlijk geeft je het antwoord zelf natuurlijk al. Het updaten naar de laatste versie gaat waarschijnlijk het lek dichten dat de aanvallers op dit moment misbruiken.

Als dit vanwege enkele componenten niet kan denk ik dat je voor de keuze staat van een veilige website / of die specifieke componenten.

[Dannydekr]

MuddyMagical schreef op woensdag 09 november 2011 @ 09:38:
Eigenlijk geeft je het antwoord zelf natuurlijk al. Het updaten naar de laatste versie gaat waarschijnlijk het lek dichten dat de aanvallers op dit moment misbruiken.

Als dit vanwege enkele componenten niet kan denk ik dat je voor de keuze staat van een veilige website / of die specifieke componenten.

1.5 wordt nog steeds onderhouden betreft security.. 1.6 en 1.7 zijn daarom volgens Joomla zelf nog niet vereist.

[Cartman!]

Zoek eerst uit wat voor soort malware het is; welke files tast het aan? wat staat er voor malafide code in die files? hoe krijgt het toegang tot je server?

[CodeCaster]

Dannydekr schreef op woensdag 09 november 2011 @ 09:34:
om de zoveel weken een vreemd probleem optreedt welke is op te lossen door alle Joomla bestanden te vervangen. Althans, dat is de makkelijkste manier, omdat ik niet kan traceren in welk bestand het probleem optreed.

Ik zou je FTP-logs eens gaan nakijken. En de wachtwoorden wijzigen vanaf een gegarandeerd niet-besmette pc.

[asing]

Gebruik eens Total Commander met de vergelijkingstool. Aan de ene kant je besmette website, aan de andere kant de cleane source. Dan weet je wat afwijkt.

[Dannydekr]

@Cartman: De malware die geinstalleerd werd, paste de index.php van de template aan. Er werd een iframe toegevoegd die redirecte naar allerlei troep. Deze heb ik toen aangepast, heb toen alle bestanden van Joomla vervangen, alle CHMOD's gecontroleerd, een speciale .htaccess aangemaakt die tevens dient als firewall, heb SH404SEF beter ingesteld en gebruik nu alle security features die Joomla te bieden heeft..

Dit nieuwe probleem is echter lastiger te traceren. Zelfs als ik al Joomla's bestanden vervang, komt het probleem dus weer terug na een aantal weken. Mijn conclusie is daarom dus ook dat de oorzaak van dit queryprobleem niet direct in een Joomla bestand zit, maar veroorzaakt wordt door een ander bestand dat het Joomla bestand aantast.

Probleem is dat er natuurlijk veel andere bestanden zijn die op de server staan die niet van Joomla zijn. Het is echter heel erg moeilijk om die handmatig te traceren, gezien het feit Joomla zelf al uit meer dan 4200 bestanden bestaat

Omdat de website veel componenten, modules en plugins bevat waarvan ik de mappen niet kan verwijderen omdat ik anders de plugin/modules/componenten sloop, is het vrijwel onmogelijk om precies te zien welk bestand er verantwoordelijk is.

[Ram0n]

Hoe weet je zo zeker dat het een security-issue van Joomla of iets anders op de server betreft? De kans is groot dat een ontwikkel-pc een virus heeft dat je ftp-wachtwoord te pakken heeft gekregen. Op die manier kunnen de bestanden natuurlijk erg simpel worden aangepast, en dat is nog maar één van de alternatieve oorzaken.

Probeer dus, zoals CodeCaster ook al aangaf, je ftp-wachtwoorden aan te passen vanaf een andere pc (waarmee je die ftp-server nog nooit benaderd hebt).

[Dannydekr]

Ram0n schreef op woensdag 09 november 2011 @ 10:24:
Hoe weet je zo zeker dat het een security-issue van Joomla of iets anders op de server betreft? De kans is groot dat een ontwikkel-pc een virus heeft dat je ftp-wachtwoord te pakken heeft gekregen. Op die manier kunnen de bestanden natuurlijk erg simpel worden aangepast, en dat is nog maar één van de alternatieve oorzaken.

Probeer dus, zoals CodeCaster ook al aangaf, je ftp-wachtwoorden aan te passen vanaf een andere pc (waarmee je die ftp-server nog nooit benaderd hebt).

Zal dat gaan proberen.

[HenkEisDS]

Heb je ook al je componenten/modules/plugins (CMP) geupdate?

Je kunt een volledig up2date systeem platleggen als er exploits bekend zijn van CMPs. Zet hier eens een lijstje neer van je CMPs inclusief versienummer.

sh404sef is in ieder geval nog actief: http://anything-digital.com/sh404sef/changelog.html

[Voor 70% gewijzigd door HenkEisDS op 09-11-2011 10:30]

[Plague]

Het klinkt alsof er inderdaad een exploit in een van je componenten/modules/plugins zit. Die dus even goed controleren inderdaad.

Verder kan het natuurlijk ook nog een lek in je serversoftware zijn. Apache/Linux/MySQL etc allemaal geupdate? Zo niet, dan kan je ook dat nog proberen. Wanneer je de laatste versie van Joomla draait, is de kans op exploits in Joomla zelf vrijwel uitgesloten. Die worden namelijk min of meer direct gefixt wanneer ze bekend worden.

[Dannydekr]

Heb zojuist een nieuwe security-enhanched .htaccess file geinstalleerd en een Joomla security tool die bijhoudt wanneer er een bestand aangepast wordt. Zodra dit gebeurd, kan ik precies zien wat er is aangepast en zodoende kan ik het probleem dus makkelijker traceren.

Verder denk ik dat de kans heel groot is dat er een component of plugin de oorzaak is Hopelijk helpt deze tool met het traceren in ieder geval.

[Cartman!]

Als het een virus is op je ontwikkelbak die via FTP die code aanpast dan heeft een .htaccess weinig zin

[Ram0n]

Heb je overigens eens op Google gezocht naar het adres van die iframe? Wellicht (/waarschijnlijk) zijn er anderen die hetzelfde hebben meegemaakt, en dan is de kans groot dat iemand anders reeds heeft achterhaald wat de oorzaak is

[asing]

Als het een exploit in een extensie is, kan je die misschien terugvinden in het log van Apache. Je ziet dan een http request en in het request staat dan een url naar een andere server, meestal in het buitenland.

[remco_k]

Ik mis nog even dat je dit uit hebt geprobeerd, of gaat proberen:

asing schreef op woensdag 09 november 2011 @ 10:14:
Gebruik eens Total Commander met de vergelijkingstool. Aan de ene kant je besmette website, aan de andere kant de cleane source. Dan weet je wat afwijkt.

Dat geeft je namelijk inzicht in wat er is veranderd, waarmee je dan weer aan de slag kunt op google zodat je weet wat de achterliggende oorzaak is.

[Miyamoto]

Als je SSH toegang hebt, is het ook mogelijk om de gewijzigde bestanden weer te geven:

code:

find /directory/ -name '*.php' -mtime -30 -print

credits naar iemand anders die dit een tijdje terug gepost heeft

Lijkt me verder ook verstandig eens verbinding te maken met een andere PC dan normaal om dergelijke zaken te controleren. Misschien is je PC besmet en komt de aanvaller op die manier in je FTP binnen.

Ook heb je nog niet aangegeven in hoeverre je de log-bestanden hebt nagekeken. Mogelijk dat de hostingprovider je kan helpen met een overzicht van de gewijzigde bestanden dmv bovenstaand commando en/of het toesturen van de log-files.

Verder geef je ook geen informatie over welke plugins je gebruikt en wat er precies aangepast wordt. Naar welke site werd geredirect? (Wel even opletten dat je die plaatst zonder link...)