Problema con hacker...chi sà aiutarmi ???

[Sisupoika]

Originariamente inviato da brucewillis71

Ieri sera mi collego con un forum a cui sono iscritto (di tutt'altra natura rispetto a Hwupgrade) e mi trovo al posto della schermata di home una schermata di un hacker, c'era scritto "Karanlikta Oynayanlar" e poco più sotto "by crackers_child - NO WAR !" e compariva anche un link al suo sito presumo.
Siccome in questo forum è presente una sezione per comunicare con lo staff (gli amministratori e i moderatori) ho aperto un thread in cui facevo presente la cosa...e facendo un copia/incolla del link mi si è collegato appunto a questo sito.
Ho subito chiuso il browser (uso mozzilla) però preoccupato dal fatto che potesse essere successo qualcosa ho fatto una scansione con l'antivirus (uso Pc-cillin) e con un antispyware (uso Ad-Aware) ed infatti mi sono trovato ben 13 virus e 49 spyware....alla faccia !!!
I visrus comunque sono stati eliminati, cosiccome anche gli spyware.
Quello che vi vengo a chiedere....secondo voi posso stare tranquillo ora ?
In caso contrario c'è qualche altra procedura da seguire oltre all'antivirus e all'antispyware da seguire per dormire sogni tranquilli ?
Grazie mille a chi risponderà !

Avverti l'amministratore, il sito e' ancora bucato.

http://www.zone-h.org/component/opti...rackers_child/

Aruba....come stanno messi male gli hoster italiani...

Ma si tratta soltanto di un defacement, non hai preso i virus da li'.
Hai forse subito un drive-by ma ad una occhiata veloce non credo quel sito direttamente sia responsabile (intendo www.hobbyuccelli.it)
Sei entrato nel loro sito, per caso, con Internet Explorer? (magari per curiosita')

if (navigator.appName!="Microsoft Internet Explorer")
{
alert("KoDAT'a Microsoft Internet Explorer Disinda Baglanti Yasaktir.")
location="http://datindex.karanliktaoynayanlar.com"
}

chi capisce il turco?

[Sisupoika]

A quanto pare e' un mass defacement.
Quel sito condivide l'indirizzo ip con altri siti (multihoming con singolo ip)
povero webx18.aruba.it

[Sisupoika]

edit

[brucewillis71]

Originariamente inviato da Sisupoika

Sei entrato nel loro sito, per caso, con Internet Explorer? (magari per curiosita')

if (navigator.appName!="Microsoft Internet Explorer")
{
alert("KoDAT'a Microsoft Internet Explorer Disinda Baglanti Yasaktir.")
location="http://datindex.karanliktaoynayanlar.com"
}

chi capisce il turco?

Ciao Sisupoika e grazie per la risposta !
No, utilizzo ormai abitualmente Mozzilla e come ho scritto ad inizio topic durante un copia/incolla per avvisare l'amministratore di hobbyuccelli.it ho cliccato sul link e quindi sono entrato nel sito dell'hacker, appena è successo ho chiuso immediatamente il browser ma la mia preoccupazione è che possa essere stato infettato in qualche modo.
Ora però con tutti i controlli che mi sono stati consigliati direi di essere abbastanza sicuro....ho controllato praticamente tutto quello che potevo !
Ho anche installato la versione trial di Kav al posto di Pc-Cillin che mi ha veramente deluso...e tanto pure !!!
L'amministratore l'ho già avvisato da ormai due giorni....ma permane ancora quella schermata inquietante....boh, forse sarà in ferie, fino ad ora mi hanno risposto solo dei moderatori che credo non possano farci niente.
Spiegami una cosa....cosa sarebbe un "drive-by" ?
Grazie delle risposte !

[Sisupoika]

Originariamente inviato da brucewillis71

Ciao Sisupoika e grazie per la risposta !
No, utilizzo ormai abitualmente Mozzilla e come ho scritto ad inizio topic durante un copia/incolla per avvisare l'amministratore di hobbyuccelli.it ho cliccato sul link e quindi sono entrato nel sito dell'hacker, appena è successo ho chiuso immediatamente il browser ma la mia preoccupazione è che possa essere stato infettato in qualche modo.
Ora però con tutti i controlli che mi sono stati consigliati direi di essere abbastanza sicuro....ho controllato praticamente tutto quello che potevo !
Ho anche installato la versione trial di Kav al posto di Pc-Cillin che mi ha veramente deluso...e tanto pure !!!
L'amministratore l'ho già avvisato da ormai due giorni....ma permane ancora quella schermata inquietante....boh, forse sarà in ferie, fino ad ora mi hanno risposto solo dei moderatori che credo non possano farci niente.
Spiegami una cosa....cosa sarebbe un "drive-by" ?
Grazie delle risposte !

Detto molto sinteticamente, una pagina caricata, solitamente in un iframe nascosto, sfrutta una o piu' vulnerabilita' appena scoperte dal malintenzionato, per scaricarti del malware nel sistema oppure compiendo azioni su di esso che normalmente verrebbero bloccate dalle caratteristiche del browser e/o del sistema operativo.
Di solito, il malintenzionato fa una scansione di porzioni del web, prendendo di mira hosters - quali Aruba - dei quali ha trovato almeno un webserver non adeguatamente protetto e aggiornato. Una volta guadagnato accesso ad un sistema di quell'hoster, egli puo' (ma e' solo un esempio) compromettere i siti da esso ospitati, spesso ricorrendo a degli script per un "defacciamento di massa".
Nel caso di quel sito, sembra che un include nella cartella del forum sia stato modificato per visualizzare il contenuto aggiunto dal tizio.
Un include e' un file di codice che, sul server, contiene delle funzioni e procedure condivise da piu' pagine; esso e' percio' "incluso" nelle pagine che fanno uso di quel codice, e in questo caso in tutte le pagine del forum.
Questo e' il motivo per cui qualunque pagina accedi del forum, vedi il contenuto aggiunto dal tizio.
Come avrai notato, soltanto la sezione del forum e' stata compromessa, mentre la home page, di solito target di un defacement, non lo e'.
Questo perche' e' stato sfruttato un setup non ottimale dei permessi sulla cartella del forum, quindi il tizio ha potuto modificare quell'include ma niente nelle cartelle superiori perche' non e' riuscito a fare traversal/climbing alle cartelle superiori grazie a una migliore impostazione dei permessi.
Comunque, ho dato solo un'occhiata molto veloce, al momento sto sistemando il mio nuovo laptop

[brucewillis71]

Grazie mille per la spiegazione davvero esaudiente Sisupoika !!!

[Sisupoika]

Originariamente inviato da brucewillis71

Grazie mille per la spiegazione davvero esaudiente Sisupoika !!!

Sembra abbiano sistemato