[RATKAISTU] Hakukoneet ohjaavat kotisivuni epäilyttäville sivuille

Käytössä on joomlan versio 1.5.10

Kotisivuni www.star-insight.net
toimii kun siirtyy sivustoon kirjoittamlla suoraan osoiteriville,
mutta hakukoneet mm.google ja yahoo uudelleenohjaavat todella hämärille
sivustoille. Onkohan sivuille hyökätty. Mitä on tehtävissä?

Minkäslaisella haulla noita "hämäriä" linkkejä löytyy?

Troijalaista ainakin Avast tuolta sivustolta estelee

Eli kun suorittaa haun bändin nimellä ja klikkaa hakutulosta jonka pitäisi viedä suoraan bändin virallisille sivuille, niin linkki vie ties minne www.wojianfei.net ..... tms

Ja jos kerta siellä on viruksia havaittavissa, niin onko suositeltavia toimenpiteitä.
Varsinainen atk-guru en ole. Auttaako joomlan päivitys vai onko muita ehdotuksia?

Suositeltavaa on sulkea sivusto välittömästi, ja sitten aloittaa sivuston siivous.

Joomlan saa todennäköisesti siivottua siten, että tekee päivityksen viimeisimpään versioon täydellä asennuspaketilla. Tällöin Joomlan jokainen tiedosto tulee ylikirjoitettua ja mahdolliset lisäykset koodissa häviävät.
Ja jos sivustolla on lisäosia, niin niille pitää tehdä ihan sama juttu.

Täällä voi tarkistaa löytyykö haittakoodia:
sitecheck.sucuri.net/scanner/

Ja lisää löytyy täältä:
scanurl.net/

Olisi myös tärkeää ottaa selvää miten haittakoodi on sivustolle saatu ujutettua. Suosittelen ottamaan yhteyttä palveluntarjoajaan.

Eräällä asiakkaallani (jolla ei silloin ollut ylläpitosopimusta) oli sama ongelma. Ainaskaan tuossa tapauksessa ei riittänyt Joomlan päivitys vaan haittakoodia löytyi myös melkein jokaisesta sivupohjasta ja lisäksi useasta joomlan / lisäosan tiedostosta. Tuossa tapauksessa hyökkäys oli tehty päivittämättömän ozio galleryn kautta.

eli sivusto kiinni ja kaikki haittakoodi pois. Lisäksi suosittelen vaihtamaan tietokannan, adminien sekä ftp tunnukset (varsinkin jos ftp on käytössä joomlalla).

Tuossa äsken mainitsemassani tapauksessa tuo murtautuminen vielä toistui vaikka kaikki lisäosat ja joomla olivatkin ajantasalla. Ensimmäisellä kerralla jäi ftp salasana vaihtamatta (palveluntarjoajalla se ei ollut mahdollista!!! pääkäyttäjän ftp tunnuksia ei voinut ainaskaan silloin vaihtaa webhotelli.fi:n palvelussa, eli ei ihan mallikkaasti tehty systeemi).

Kokeilen eka tota päivitystä josko ongelma korjaantuisi...
Mikäli ei niin sitten järeämmät konstit käyttöön...

Sivusto on jokatapauksessa hakkeroitu, joten järeämmät konstit käyttöön heti.. vinkvink.. Esim näissä on juttua tuosta enkuksi:
forum.joomla.org/viewtopic.php?f=432&t=699480
forum.joomla.org/viewtopic.php?p=2386372

Ja lisää löydät hakemalla googelista: eval(base64_decode hack
Kyseessä ei siis ole pelkästään Joomlaaan liityvä gagga vaan sama roska tarttuu myös muihinkin php softiin..

Eli isot pyssyt käyttöön..

Jos sinne jää jotakin haittakoodia niin tuo voi uusia saman koska tahansa. Lisäksi on mahdollisa, että joitakin käyttäjätunnuksia (tietokanta + ftp) on jo päässyt eteenpäin, eli sivusto ei ole minusta turvassa jatkoa ajatellen, ennekuin kaikki koodi on varmuudella poistettu ja tunnukset/salasanat vaihdettu.

Lisäksi palvelua ajatelleen, lähes kaikissa webhotellia tarjoavissa yrityksissä on käyttöehdoissa maininta, että on asiakkaan vastuulla, ettei haittakoodia ole. Mikäli tuo koodia leviää (kokemuksella voin sanoa, että leviää), voi olla että tulee sanomista..

Olen nyt päivittänyt ensin 1.5.10 -> versioon 1.5.25 ja siitä -> 1.5.26
Sivut ohjautuvat nyt oikein hakukoneiden kautta
ja testasin kahdella eri sitecheckillä:

scanurl.net/
sitecheck.sucuri.net/scanner/

Eikä ainakaan nuo löytäneet haittakoodia enää.
Jokohan sitä uskaltaa kirjoittaa ratkaistu tähän topicciin

vaihda vielä saladanat ja tarkasta sivupohjan filut niin eiköhän se siitä.. voihan se olla ettei olisi kerennyt levitä pahasti.