[spip-dev] hack spip 2.1.12

Dev
1

Bonjour tout le monde,
lorsque les fichiers index.php et spip.php d'un spip 2.1.12 sont hackés (modifiés),
la modification insère un script javascript après la balise </html> pour afficher un iframe en display none dans le squelette sommaire.html uniquement.
le présumé coupable serait http://ullebula.osa.pl IP : 95.163.67.189.

C'est plus du coté sécurité de l'hébergement qu'il me faut regarder (changement du pass FTP + blacklister l'IP);
ou du coté de spip qu'il me faut surveiller ?
cordialement

2

Bonjour,

C'est arrivé il y a 2 semaines sur 4 des sites que nous hébergeons.

Les logs ont montrés que le hacker avait récupéré les comptes ftp (sans doute enregistré par les utilisateurs dans leur client ftp et transmis par un virus)...

3

chez moi ça date du 24/02/2012 (vendredi dernier), dans les logs, les accès pointent sur les fichiers :

Fri Feb 24 10:14:43 2012 0 ::ffff:41.248.208.141 271/public_html/acr/extensions/filtres_images/inc/index.php a _ i r ... ftp 0 * c
Fri Feb 24 11:16:37 2012 0 ::ffff:41.248.208.141 272/public_html/acr/extensions/filtres_images/tests/index.php a _ i r ... ftp 0 * c
Fri Feb 24 11:17:19 2012 0 ::ffff:41.248.208.141 271/public_html/acr/extensions/filtres_images/inc/index.php a _ i r ... ftp 0 * c
Fri Feb 24 11:17:38 2012 0 ::ffff:41.248.208.141 272 /public_html/acr/extensions/filtres_images/inc/index.php a _ i r ... ftp 0 * c

4

Bonjour,

Cela vient d’arriver sur l’un de mes sites.
SPIP 2.1.12 avec dernier écran de sécurité (sortie pour la 2.1.13 - (et qui précisait qu’il ne corrigeait pas tout))

index.php modifié de la sorte :

<?php # appel SPIP include ('spip.php'); #2a08d4# echo(gzinflate(base64_decode("une chaine encodé"))); #/2a08d4# ?>

qui ajoutait un script après la balise du sommaire.html
et qui faisait sifller les antivirus (Trojan.JS.agent FXU)…

Je compte upgradé vers la 2.1.13 ce soir. Pensez vous qu’il y ait un rapport ?
Ou que c’est plutôt du côté d’un virus ayant récupéré le compte FTP comme suggéré dans cet échange ?

Julien

5

Salut,

Ça sent le hack ftp oui, voir ici pour plus d'infos :

Et un outil pour tester ton site ici :

Il faut que tu changes de mot de passe pour tous les comptes ftp qui ont accès à ce site et que tu lance une analyse antivirus sur toutes les machines qui avaient un accès ftp au site.

6

ok, merci pour ces conseils rapides et liens utiles !
J’ai fait le nécessaire, j’espère !

a+

Julien