Jump to content

[ HACK ] - Via les modules themeforest


YanK

Recommended Posts

Bonjour,

 

Dans l'urgence je poste ce message pour prévenir les personnes utilisant des themes Themeforest.

 

Les modules concernés et connues sont :

simpleslideshow

columnadverts

homepageadvertise

productpageadverts

 

Si votre client n'en a pas besoin SUPPRIMEZ LES !

Une desactivation ne suffira pas. C'est modules sont codés avec les pieds (point de vue personnel).

 

Si vous en avez besoin exécutez ceci rapidement sur vos serveur :

echo "php_flag engine Off" > www/modules/homepageadvertise/slides/.htaccess
echo "php_flag engine Off" > www/modules/homepageadvertise/thumbs/.htaccess

echo "php_flag engine Off" > www/modules/simpleslideshow/slides/.htaccess
echo "php_flag engine Off" > www/modules/simpleslideshow/thumbs/.htaccess
echo "php_flag engine Off" > www/modules/simpleslideshow/images/.htaccess

echo "php_flag engine Off" > www/modules/columnadverts/slides/.htaccess
echo "php_flag engine Off" > www/modules/columnadverts/thumbs/.htaccess

echo "php_flag engine Off" > www/modules/productpageadverts/slides/.htaccess
echo "php_flag engine Off" > www/modules/productpageadverts/thumbs/.htaccess

Si vous êtes infecté. Faites le ménage.

Supprimé les fichiers suivant qui peuvent être partout ou Apache a les droits en écriture :

is.php
m.php
22.php
x.htm
kentu.html
50.php
pocong.html
t.php
dya.php
z.php
 

Comparé l'intégralité de votre projet avec vos sources non infectées.

Le script modifie aussi les index.php de Prestashop ;)

 

Si j'ai plus d'information je viendrai les donner sur ce post.

 

Yannick

 

PS : Si le poste est mal placé n'hésitez pas à le déplacer.

Edited by YanK (see edit history)
  • Like 3
Link to comment
Share on other sites

Tous les clients ayant achetés Warehouse ont été notifiés des mises à jour à effectuer. Le Problème c'est que c'est trop tard pour pas mal de gens !!! :huuu

Ceci dis, en plus d'être une usine à gaz c'est vrai que ce thème est codé avec les pieds !!!

Link to comment
Share on other sites

Non, pas "tous les clients...". J'ai acheté ce thème il y a 3 ans, rien reçu !

 

ça parait pas normal si votre compte est toujours actif chez eux avec un email valide. L'envoi à été fait depuis themeforest aux clients,  à moins que le délais pour le support soit dépassé (3 ans), je ne connais pas très bien leur conditions de vente.

Link to comment
Share on other sites

Oui, mon mail est toujours valide. Mais je ne sais même plus pour quel client j'avais utilisé ce thème ! Je vais essayer de retrouver, mais je crains que ce ne soit un site en PS 1.5, et pas sur que la dernière version du thème fonctionne sur 1.5

Link to comment
Share on other sites

ça parait pas normal si votre compte est toujours actif chez eux avec un email valide. L'envoi à été fait depuis themeforest aux clients,  à moins que le délais pour le support soit dépassé (3 ans), je ne connais pas très bien leur conditions de vente.

 

Je viens de recevoir le mail !

Link to comment
Share on other sites

Salut

 

Mille merci pour les infos, idem : site (theme warehouse 3.5.1) plombé ce week end via les modules cités plus haut, pour envoyer du spam.

J'ai joué pas mal avec postqueue / postcat / grep / find (un peu de révision ne fait pas de mal)

J'avais des fichier atom.php, alias19.php, des css.php corrompus

Par contre, pas vu de fichiers index modifié, est ce que certains en ont eu ? si oui lesquels ?

 

Merci !

 

Pour ceux que ça intéresse, quelques commandes utiles :

 

trouver le script qui envoie le spam :

http://frontmag.no/artikler/how-identify-script-sending-spam-through-postfix

 

clear selectif de la postqueue en fonction du domaine :

https://www.howtoforge.com/delete-mails-to-or-from-a-specific-email-address-from-postfix-mail-queue

 

rechercher tous les fichier modifiés à une date précise :

http://stackoverflow.com/questions/158044/how-to-use-find-to-search-for-files-created-on-a-specific-date

 

 

J'ai suivi les instruction de sécurité de l'update du theme 3.8 (remplacement des modules no secure), mais pas mis à jour le theme complet.

Périodes de solde oblige ... on verra ça plus tard

 

On va voir si ça tient ?

 

@iqit team : quand je vois les instruction d'upgrade, franchement ça dissuade un peu (3.5.1 vers 3.6 puis 3.6 vers 3.8) avec une tonne de modules à désactiver / réinstaller / upgrader / reconfigurer suivant les versions etc....

Edited by pierkidesign (see edit history)
Link to comment
Share on other sites

Je ne suis pas abruti, j'ai regardé les logs pour savoir quand mon site a été infecté...

J'ai repris une sauvegarde antérieure aux fichiers modifiés.

J'ai appliqué le fix du développeur sur les modules concernés.

J'ai uploadé cette sauvegarde modifié.

Link to comment
Share on other sites

Moi aussi mon site à été attaqué,

 

J'ai perdu un peu de CA mais sinon, ca va. J'ai nettoyé et download la MàJ des modules. J'ai acheter un module Protectmyshop sur l'addons de prestashop et tous est réglé. 

 

Merci pour l'infos, mais perso mon Hébergeur à bloquer mon site dès qu'un fichier suspect est été identifié. La première intrusions à été détecté déjà le 14 Juin 2016.

Link to comment
Share on other sites

Je ne disais pas ça spécialement pour toi ...

 

Je pense que tu parles de moi, du coup. Au premier coup, je n'étais pas au courant du HACK, je n'avais pas recu de mail de ThemeForest, ni lu le forum. J'ai d'abord cru a quelqu'un qui avait "volé" les codes ayant eu recours a une société tierce pour réparer un soucis sur un module.

J'avais tout réuploader avant que le site soit touché. Sauf que vu que j'ai pas mis a jour le theme, forcement.. C'est reparti en vrac.

 

Tout est en ordre depuis 1 semaine maintenant avec theme et presta a jour. RAS.

Link to comment
Share on other sites

j'ai subit le hack le 24 pendant 4 heures ! puis erreur 500  pendant 12 longue heures !

backup infecter depuis le 18 juin  j'ai du revenir vers le 6 juin site stabiliser que le 27 juin

maintenant tout est ok  mais maintenant c'est Google qui me pénalise qui me ruine ..!!

Moralité de l'histoire ne jamais négliger la sécurité ! 

j'ai reçu l'email d'avertissement 2 jours avant et j'ai négliger ! bon j'etait déjà infecter a cette date mais bon les dégâts serai moindre si j'aurais donné de l’importance a ce message d'alerte !

autre chose et la plus importante il faut avoir un manuel de procédure a effectuer en urgence (  car dans la panique on peut faire du n'importe quo ! )

en cas de hack ou panne ou autre et surtout un backup utilisable immédiatement...

Link to comment
Share on other sites

Encore une attaque de mon côté cette nuit...


Un nouveau fichier infecté dans le module cashondelivery...


 


Malgré les mises à jour et la désinfection des fichiers, il semble qu'une porte soit restée ouverte...


 


De mon côté le site n'est pas HS, mais le malware utilise la fonction mail() pour spamer et du coup, mon hébergeur bloque automatiquement les mails à partir d’un trop grand nombre afin de limiter la casse... Ce qui signifie que plus aucun mail n'est expédié de ma boutique, ni les confirmations de commande, ni les mises à jour des statuts de commande...


 


Pas pénalisant au sens strict, mais bien chiant et peu professionnel...


 


J’ai recherché manuellement, lancé l’antivirus et l’antimalware de CPanel... Je ne sais plus trop où chercher.


 


Ce qui est étrange ce que les fichiers continuent d’apparaitre, donc ils ont encore une porte ouverte via un module ou un fichier source.


Link to comment
Share on other sites

j'ai subit le hack le 24 pendant 4 heures ! puis erreur 500  pendant 12 longue heures !

backup infecter depuis le 18 juin  j'ai du revenir vers le 6 juin site stabiliser que le 27 juin

maintenant tout est ok  mais maintenant c'est Google qui me pénalise qui me ruine ..!!

Moralité de l'histoire ne jamais négliger la sécurité ! 

j'ai reçu l'email d'avertissement 2 jours avant et j'ai négliger ! bon j'etait déjà infecter a cette date mais bon les dégâts serai moindre si j'aurais donné de l’importance a ce message d'alerte !

autre chose et la plus importante il faut avoir un manuel de procédure a effectuer en urgence (  car dans la panique on peut faire du n'importe quo ! )

en cas de hack ou panne ou autre et surtout un backup utilisable immédiatement...

 

Pareil sur un de mes 3 sites : Google indique " Ce site a peut être été piratée" ce qui n'est pas franchement bon..

J'ai fait une demande de ré-examen sur google Webmaster, depuis 24H, la demande est "en attente"...

Link to comment
Share on other sites

Le spam via la fonction mail de php ne vient surement pas de la faille mais du module prestashop : Send to a friend

 

 

Ca veut dire quoi ? Avez vous des sauvegardes de début Juin par exemple ?

 

3pom 

 

Et bien ça veut dire que, sur mes anciennes sauvegardes (avant, pendant et après les premières, attaque), les nouveaux fichiers que je viens de trouver n'existaient pas.

 

Encore deux ce matin qui sont arrivés dans les dossiers img à la racine.

Le fichier error.php, déposé dans img/s/, n'est pas un fichier source et n'existe dans aucune de mes sauvegardes préalables par exemple.

Link to comment
Share on other sites

 

Et bien ça veut dire que, sur mes anciennes sauvegardes (avant, pendant et après les premières, attaque), les nouveaux fichiers que je viens de trouver n'existaient pas.

 

Encore deux ce matin qui sont arrivés dans les dossiers img à la racine.

Le fichier error.php, déposé dans img/s/, n'est pas un fichier source et n'existe dans aucune de mes sauvegardes préalables par exemple.

 

Regardez vos logs, c'est comme cela que j'ai trouvé les modules incriminés.

Aussi, remettre des sauvegardes antérieures ne corrige en aucun cas la faille. Il faut découvrir l'origine du problème avant tout.

Link to comment
Share on other sites

Pareil sur un de mes 3 sites : Google indique " Ce site a peut être été piratée" ce qui n'est pas franchement bon..

J'ai fait une demande de ré-examen sur google Webmaster, depuis 24H, la demande est "en attente"...

La demande de ré-examen google a été faite ce jour et approuvé.

Il aura fallu environ 1 semaine.

Link to comment
Share on other sites

  • 6 months later...

Apparemment je ne suivais pas mon propre post et je n'avais vu aucunes de vos réactions.

Je n'ai pas eu cette mise à jour pour le thème.
Merci à vous tous pour vos réactions et d'avoir relayer vous aussi vos infos et résultats personnels.

Link to comment
Share on other sites

Create an account or sign in to comment

You need to be a member in order to leave a comment

Create an account

Sign up for a new account in our community. It's easy!

Register a new account

Sign in

Already have an account? Sign in here.

Sign In Now
×
×
  • Create New...