Joomla вирус - backdoor.php.agent.sx он же eval(base64_decode(...));

Кодинг /

PHP

06.02.2012

job

24340

И так. Активизировался троян, Касперский назвал его backdoor.php.agent.sx, NOD32 обозвал его PHP/Kryptik.AB
Его фишка в том, что он подменяет заголовки для поисковиков на свои сайты. Какие точно не помню, но это не так важно.

Предыстория: Делал верстку сразу на хостинге заказчика, обычно я такого не делаю, но заказчик старый волк, доверять можно. Так вот. На третий день после установки Joomla 1.5 и сдачи работы, ПС и Касперский стали ругаться, что сайт угрожает безопасности. Захожу в index.php и вижу гадость после каждого открытия php в виде eval(base64_decode(...));Начинаю ругаться на хостера т.к. доступа из вне кроме меня не было. Тот в отрицалово, и кидает инфу типа у вас украли пароли с фтп. так же приводит какой то троян сканирующий пассы Total Commander. Не верю!!!

Удаление вредоносного кода eval(base64_decode(...));

Ладно поехали дальше. Откуда все это вылазит? в папке images появился файл post.php который позволяет запустить код через url. И тот уже сканит все файли и после каждого <?php добавляет eval. Странно в Joomla же предусмотрены фильтры расширений. Захожу в админку -> общие настройки -> система. И в разрешенных расширениях появилось php. Ого! Дистрибутив всегда ставлю с сайта производителя. хм.

Мысли в слух: Я конечно не последний мудак, что бы попасть в подобный просак, но все же факт )).  Обычно во время разработки я ставлю пароль админа типа 123456 что бы и заказчик мог зайти посмотреть как движется работа. Так вот. Я думаю что в нете сидит какой нить бот и сканит IP на появление новых сайтов. Далее дело техники, определить движок, и пробить админку со стандартными паролями )). Гы, не используйте простых паролей!!!

И так как бороться?

Я сделал дамп файловой системы, скачал на локалку, распаковал и с помощью программы Text Replacer заменил во всех файлах зловещий код на пробел. Залил обратно на сервер. Ну как то так!

P.S. И не забываем в админке в фильтрах убирать расширение php, и так же удалять в папке images файлик post.php

Всем удачной борьбы с этим паразитом!