drupal website linkt door naar malwaresite

[ITS PLUS]

Heb een drupal website. Nu krijg ik van sommige gebruikers het bericht dat ze automatisch geforward worden naar een andere site, waar opkomt dat ze een prijs gewonnen hebben etc.

Heb online scans gedaan van de website op malware, niets gevonden.
Heb de drupal verwijdert en opnieuw geïnstalleerd, probleem blijft bestaan.

Zou dat probleem kunnen zijn dat bij de hosting ligt?
Of waar zou dit toch nog in kunnen verscholen zitten?

dit is de melding die er gegeven wordt.

Als ik er zelf naar surf of vanaf andere locatie krijg ik die fout niet te zien.


https://imageshack.com/a/img923/1359/moH9wm.jpg

[johnkeates]

Heb je al een diff gedaan van je upload en je source?

[eric.1]

Als je het niet kan reproduceren blijft he gissen waar het zit...en zou het net zo goed aan die gebruikers kunnen liggen.

Iets in de logs te zien (ongeoorloofde toegang of redirects oid)?

Heb de Drupal verwijdert en opnieuw geïnstalleerd, probleem blijft bestaan.

Hoe heb je dat gedaan?

[ITS PLUS]

@Johnkeates: heb alle offline files uit een een backup van tijdje terug laten overschrijven, zelfde resultaat
@eric.1 : het ligt zeker aan de site, het zijn 3 onafhankelijke surfers die het probleem doorgegeven hebben. In logs niets terug te vinden.
De drupal heb ik alles gewist via de ftp (behalve de sites-folder) en een nieuwe installatie opgezet. Zelfde resultaat.

Of het zou al in de "sites" folder moeten zitten, maar deze is al overschreven door de backup die beschikbaar was van enkele maanden geleden.

Met verschillende sites online al laten checken op malware (sitecheck.sucuri, virustotal, app.webinspector, norton, scanner.pcrisk, quttera, ... Geen enkele site heeft iets van opmerkingen.

Het ding is wel dat wanneer je de site 1x bezocht hebt de reclame blijkbaar weg is, want als ze dan op terug en opnieuw op de site klikken is het probleem niet meer voorhanden.

[bonzz.netninja]

Misschien zit het probleem niet in je applicatie, maar in je hosting. De webserver komt niet bij de applicatie maar stuurt je direct al door. Ik zou in je hosting panel (de meeste hosting partijen hebben zoiets) gaan kijken of er niet stiekem redirects staan oid.

[Xaverius]

Ik heb hier ook wel eens vragen over gekregen en na controle bleek het dat het daar lag aan een browser plugin.

[AW_Bos]

ITS PLUS schreef op zondag 21 oktober 2018 @ 20:43:
@Johnkeates: heb alle offline files uit een een backup van tijdje terug laten overschrijven, zelfde resultaat.

En stel nu dat het lek ook in die backup zit?

[Darkvisje]

check je .htaccess file maar is deze is meestal niet zichtbaar via de ftp (ge-hide)

[TimDJ]

Het is ook mogelijk dat er een javascript geïnjecteerd is in je database.

Verder kun je als je geen git repository hebt om je code mee te vergelijken de hacked module proberen: https://www.drupal.org/project/hacked die vergelijkt code met het origineel

[HenkEisjedies]

Draai je ook advertenties? Ik heb ook regelmatig, 1x per maand, dat ik vanaf AD.nl wordt doorgestuurd naar zo'n spamsite. Ligt denk ik niet bij AD.nl, maar bij de advertentieboer.

[ITS PLUS]

Er draaien geen ads op de site.
De .htaccess heb ik nagekeken, geen rare code in
Backup kan besmet zijn, maar zou ik raar vinden daar ik hier vroeger geen meldingen van kreeg
database ga ik eens checken. Die drupal module ga ik eens installeren, misschien wel handig.

Ik hou het hier up to date waar het aan ligt , bedankt voor de vele insteek.

[edeboeck]

Als je toch een grondige file-vergelijking wilt doen, kan je ook met Beyond Compare vergelijken: zet thuis een cleane versie op en vergelijk dan met de gehoste versie (kan ook over FTP vergelijken)

[Voor 8% gewijzigd door edeboeck op 22-10-2018 12:53]

[Fontini]

Ik zou ook even je site admin/ftp(master)/database wachtwoorden aanpassen voor de zekerheid als je het probleem gevonden hebt (of eerder en na het vinden weer).