Web application aggiornatissima, plugin ridotti al minimo, hardening generale, e chi più ne ha.
Ma quando devono, devono.
Stamattina il sito era giù, il motivo è facile da indovinare: ho dovuto metterlo in manutenzione di corsa: stanotte, intorno alle 3.40 ora italiana lo hanno infarcito con un bel segmento di codice PHP in testa ad ogni singolo file PHP presente nello spazio di hosting. Risultato: chi visitava il sito riceveva un Javascript che ne scaricava un altro dall’URL http://js .ribblestone .com/jazz/listen.php che a sua volta ne prendeva un’altro da http://panelscansecurity .org/? affid=320&subid=landing.
Il risultato era la solita scansione finta con proposta di scaricare il malware vero di turno, camuffato da fantastico super-anti-tutto.
Alla seconda visita non succede nulla, perché alla prima viene impostato un cookie con nome pwr_set_number_coalition_2, che, se presente, disattiva il redirect verso la finta scansione. C’è anche un altro elemento pericoloso: il codice Javascript iniettato controlla se il visitatore è lo spider di Google o di Yahoo, e si disattiva. Questo impedisce a Google di riconoscerlo come codice dannoso, quindi il sito non viene incluso fra quelli potenzialmente dannosi. Meno danno per il proprietario del sito, più danno per tutti, visto che la protezione dai siti trappola operata da Google non funziona più.
Il danno sul sito era totale, ogni singolo file PHP conteneva il codice iniettato. Indagando un po’, ho trovato che altri siti ospitati sullo stesso hosting hanno lo stesso problema, quindi, molto verosimilmente, si tratta di un problema dell’intero hosting.
Ho recuperato, per ora, scaricando l’intero contenuto del sito e ripulendo con uno script tutti i file PHP dai frammenti di codice iniettato. Ho poi controllato che non ci fossero “ospiti non invitati”, sia sotto forma di file che sotto altre forme. Poi ho riportato indietro i file PHP ripuliti.
Ho fatto qualche altra modifica, ma non sono molto fiducioso che possa impedire il ripetersi del problema. Se il server è compromesso, c’è poco da fare.
Precisazione
Il sito è ospitato su Register, Nobug srl offre la parte economica.








