Nouvelle analyse antivirus à l'aide de signatures en interne

[Elodie]

Bonjour,

J'ai dû créer un second robot antivirus sur la même base et la même forme des rapports mails du premier robot, mais cette fois-ci je vais détecter en plus : mes propres signatures virales que je vais rencontrer au fil du temps.

J'ai pu ainsi alerter par mail 3 hébergés que leurs sites sous Joomla étaient infectés de scripts PHP vérolés permettant d'envoyer du SPAM. Spam que je limite avec les limitations d'envois de 100 mails / heure, progressivement par le score de l'anti-spam sortant mais également au niveau des remontées d'erreurs de mails non délivrés.

Voici le genre de fichiers infectés :

Code : Tout sélectionner

/www.***.com/conf/proxy.php (Script PHP de SPAM/FLOOD mail)
/www.***.com/conf/.9bc3c2.php (Script PHP de SPAM/FLOOD mail)
/www.***.com/.fantasticodata/.532a11.php (Script PHP de SPAM/FLOOD mail)
/www.***.com/.fantasticodata/footer.php (Script PHP de SPAM/FLOOD mail)
/www.***.com/sbin/global.php (Script PHP de SPAM/FLOOD mail)
/www.***.com/sbin/.7e4089.php (Script PHP de SPAM/FLOOD mail)
/www.***.com/Install/include.php (Script PHP de SPAM/FLOOD mail)
/www.***.com/Install/.1c6238.php (Script PHP de SPAM/FLOOD mail)
/www.***.com/Templates/.e17493.php (Script PHP de SPAM/FLOOD mail)
/www.***.com/Templates/file.php (Script PHP de SPAM/FLOOD mail)
/www.***.com/topimgbak/.565c2c.php (Script PHP de SPAM/FLOOD mail)
/www.***.com/topimgbak/javascript.php (Script PHP de SPAM/FLOOD mail)
/www.***.com/incoming/.f26840.php (Script PHP de SPAM/FLOOD mail)
/www.***.com/incoming/cache.php (Script PHP de SPAM/FLOOD mail)
/www.***.com/.spamassassin/.70a5c5.php (Script PHP de SPAM/FLOOD mail)
/www.***.com/.spamassassin/session.php (Script PHP de SPAM/FLOOD mail)
/www.***.com/css/blog.php (Script PHP de SPAM/FLOOD mail)
/www.***.com/css/.060a35.php (Script PHP de SPAM/FLOOD mail)
/www.***.com/Templates/.e20727.php (Script PHP de SPAM/FLOOD mail)
/www.***.com/Templates/menu.php (Script PHP de SPAM/FLOOD mail)
/www.***.com/statistics/general.php (Script PHP de SPAM/FLOOD mail)
/www.***.com/statistics/.d59ca7.php (Script PHP de SPAM/FLOOD mail)
/www.***.com/errordocs/.64a3ca.php (Script PHP de SPAM/FLOOD mail)
/www.***.com/errordocs/login.php (Script PHP de SPAM/FLOOD mail)[/quote]
/www.***.com/components/com_users/7dzf1a.php (Script PHP de SPAM/FLOOD mail)
/www.***.com/components/com_contact/kd6ef0.php (Script PHP de SPAM/FLOOD mail)
/www.***.com/TMP/.f75daa.php (Script PHP de SPAM/FLOOD mail)
/www.***.com/TMP/dirs.php (Script PHP de SPAM/FLOOD mail)
/www.***.com/pd/.5b1256.php (Script PHP de SPAM/FLOOD mail)
/www.***.com/pd/start.php (Script PHP de SPAM/FLOOD mail)
/www.***.com/logs/db.php (Script PHP de SPAM/FLOOD mail)
/www.***.com/logs/.9ba766.php (Script PHP de SPAM/FLOOD mail)
/www.***.com/modules/functions.php (Script PHP de SPAM/FLOOD mail)
/www.***.com/modules/.5b2bd3.php (Script PHP de SPAM/FLOOD mail)
/www.***.com/menu/gallery.php (Script PHP de SPAM/FLOOD mail)
/www.***.com/menu/.83aab3.php (Script PHP de SPAM/FLOOD mail)
/www.***.com/config/.227fc2.php (Script PHP de SPAM/FLOOD mail)
/www.***.com/config/dirs.php (Script PHP de SPAM/FLOOD mail)

J'ai désactivé la fonction mail de ces 3 hébergés et je leur ai demandé de mettre à jour absolument leur solution Web car même s'ils suppriment ces fichiers vérolés, ils reviendrons par la même faille de sécurité.