Постоянно появляется вирус троян - Безопасность сайтов на Joomla

Здравствуйте!

Ребята помогите - постоянно вирус. Появляется через два дня.


components\com_banners\models\pp154.exe|>@$%04\lomai_manya.bat  угроза: BV:Bicololo-C {Trj}

components\com_banners\models\...\ya_hoshu_4tobi_ti_lomal_menya.exe угроза: Win32:Bicololo-BA {Trj}


Joomla - 1.5.23

Использую компоненты

ARTIO JoomSEF
CK Forms
Akeeba Backup
Joomla Estate Agency 1.1

Раньше хранил пароли в тотал ком. Когда удалил с сайта (просто нашел его место расположение и удалил) - стер все, пере установил винду - правда пароли от хостинга не менял....

И вот опять.... уже замучился, помогите пожалуйста

правда пароли от хостинга не менял....

Хостинг виндовой что ли? ya_hoshu_4tobi_ti_lomal_menya.exe
проверьте сканерами на форуме файлы сайта, проверьте их и свой ПК AVPTool, смените пароли от хостинга и админки. Если есть логи доступа, выложите их тут.

Хостинг виндовой что ли?

- хостинг - хостланд.ру Логов нету. Вопрос - как их сделать? Сайт и ПК - каждый день проверяю Авастом

правда пароли от хостинга не менял....

Начать нужно было именного с этого

Начать нужно было именного с этого

я об этом подумал.... но не сделал.... первый раз с этим сталкиваюсь. Сейчас позвоню на хостинг - послушаю, что скажут....Но опять же, может у них спросить про логи, и дыру найти то нужно.... как то ведь он попадает на сайт

Аваст не рулит. О логах спросите хостера.

Аваст не рулит. О логах спросите хостера.

сейчас всерьез занимаюсь безопасностью сайта - каждый день делаю бекап и гоняю антивирусами... про логи запрос написал  с просьбой заменить пароли.... вот отрезок письма

Как я понимаю - это нужно

1. Посмотреть логи - пожалуйста пришлите
2. удалить вирус
3. найти причину, почему появляется вирус -  и устранить
4. поменять на все пароли
5. может сделать доступ с определенных IP?

ответ напишу и логи выложу

запросите у хостера лог и доступ к файлам шелла(ов) найденным, по ним будет виден IP и потом по нему найдете от куда все появилось, а может и не найдете как повезет

пришел ответ

ftp логи выложены в корне Вашего ftp аккаунта.
Вам необходимо:
1. Проверить все компьютеры, которые имеют доступ к Вашему FTP-аккаунту, на
наличие вирусов.
2. Сменить пароль на все FTP-аккаунты в панели управления.
3. Исследовать контент аккаунта на наличие чужого кода/файлов.
4. Обновить программное обеспечение, на котором работают Ваши сайты (в случае, если это какой-либо готовый движок).
5. Устранить возможные дыры в ПО, обслуживающем Ваш сайт (в случае, если сайты обслуживаются самописным кодом).
Выполнение пунктов обязательно в порядке, описанном выше.
А также поставьте ограничение по IP через панель управления хостинг аккаунтом:
http://panel.hostland.ru/?status=6
укажите только свой IP, если файлы после всех процедур будут появляться дальше значит либо Ваш компьютер заражен, либо существует дыра в ПО сайта.

насколько я понял вот логи

omg спрятал бы хоть под кат!
Что за движок, или это такая Joomla стала?

omg спрятал бы хоть под кат!

теперь по русски - не понял

joomla 1.5.23

omg спрятал бы хоть под кат!

понял..... сори

понял..... сори

Жми - Редактировать пост и убирай свой лог под кат. Листать 10 экранов для ответа ни у кого желания не будет.

может удалить вирус с сайта - и залить обратно на сервер и поменять все пароли! проверить - будит ли появляться троян или нет

может удалить вирус с сайта - и залить обратно на сервер и поменять все пароли! проверить - будит ли появляться троян или нет

Поменять пароли нужно было "еще вчера". Вообще хостер обычно заинтересован в очистке от вирусов своей площадки. Он может подсказать когда и через что ломали... Скорее всего у вас инфицирован компьютер. Для начала скачайте какой - нибудь cureit и полностью проверьте Ваш компьютер. А после этого меняйте пароли. И вы так и не сказали, что за движок сайта, на Joomla вот так прям в лоб не похоже...

Поменять пароли нужно было "еще вчера". Вообще хостер обычно заинтересован в очистке от вирусов своей площадки. Он может подсказать когда и через что ломали... Скорее всего у вас инфицирован компьютер. Для начала скачайте какой - нибудь cureit и полностью проверьте Ваш компьютер. А после этого меняйте пароли. И вы так и не сказали, что за движок сайта, на Joomla вот так прям в лоб не похоже...

joomla - 100%
сейчас удаляю вирус с сайта, далее сканирую пк - потом делаю бекап - потом меняю пароли и делаю ограничение по ip
Последовательность правильная?

joomla - 100%
сейчас удаляю вирус с сайта, далее сканирую пк - потом делаю бекап - потом меняю пароли и делаю ограничение по ip
Последовательность правильная?

а ограничение каких IP вы собираетесь делать?

а ограничение каких IP вы собираетесь делать?

всех кроме своего

всех кроме своего

То есть свой сайт вы собираетесь смотреть в одиночку?

То есть свой сайт вы собираетесь смотреть в одиночку?

не я имею ввиду только доступ в админ только со своего IP - сори если неправильно выразился....

возник такой вопрос - на хостинге у меня сайтов 10, но ими я вообще не занимаюсь - возможно ли что там тоже троян и от них происходит заражение? (вопрос правда глупый)

не я имею ввиду только доступ в админ только со своего IP - сори если неправильно выразился....

возник такой вопрос - на хостинге у меня сайтов 10, но ими я вообще не занимаюсь - возможно ли что там тоже троян и от них происходит заражение? (вопрос правда глупый)

У вас скорее всего уперли пароль от ftp а не от админ панели Joomla.

У вас скорее всего уперли пароль от ftp а не от админ панели Joomla.

я тоже так думаю.... я ведь раньше хранил в тотал коме.... но почему то троян появляется в одном и том же месте

думайте ваше право 

возник такой вопрос - на хостинге у меня сайтов 10, но ими я вообще не занимаюсь - возможно ли что там тоже троян и от них происходит заражение? (вопрос правда глупый)

уверен что в не одном из них shell 
а вы придираетесь к одному сайту
сканер в подписи время у вас много сканируйте ищите shell, ни кто у вас пароли не крал думаю с тотала

думайте ваше право  :laugh:уверен что в не одном из них shell 
а вы придираетесь к одному сайту
сканер в подписи время у вас много сканируйте ищите shell, ни кто у вас пароли не крал думаю с тотала

flyingspook - у меня есть копия всех сайтов - прогонял антивирусом - чистые... но сейчас на всякий случай поставлю на все akeba - сделаю бекап - проскандирую... посмотрим, что покажет

антивирусом закодированный shell можно и не найти (к информации)

антивирусом закодированный shell можно и не найти (к информации)

для общего развития - и как тогда быть ? ведь тогда с этой проблемой можно сталкиваться постоянно 

flyingspook был прав, на одном сайте нашел 3 трояна

components\com_banners\helpers\pp154.exe   угроза BV:Bicololo-B {Trj} Win32:Bicololo-AK {Trj}  Win32:Bicololo-AR {Trj}

все удалил, просканировал пк - все ок...
сменил пароли в панель доступа хостинга и пароль ftp...
поставил ограничение ip

Надеюсь поможет .... через пару дней узнаю

 Ну вот прошло 2 недели и опять появился вирус  ....в том же самом месте components\com_banners\models\pp154.exe

вот логи


после 21.09 - логов почему то нету - может из за ограничения по IP - но все равно видно посторонний IP 77.234.201.82

но и это еще не все печальные вести - опять появляются скрытые ссылки и что самое интересное, они там и раньше появлялись я взял и поставил права 444 (только чтение)


поставил - ai-bolit.php   

проверьте пожалуйста кто разбирается http://www.timmisworld.ru/ai-bolit.php?p=77777

что дальше делать вообще не знаю.... помогите решить данную проблему !

после 21.09 - логов почему то нету

А сами по ftp после 21.09 заходили? Эта запись старая, была в прежнем логе и ни о чём новом не говорит. Если этот IP действительно чужой (а не хостинг-провайдера), тогда лог говорит о том, что 1) первый раз ломали через угнаный пароль ftp, 2) хацкер не ленивый и заходил в директорию с логами, поэтому им полностью доверять нельзя. Сейчас всё может быть (и скорее всего есть) иначе.

что дальше делать вообще не знаю

Искать и удалять шелл(ы). Простого рецепта здесь нет. Добавьте логи http, если есть.