Attacco da malware (Blackhole Exploit Kit)

[soloscacchi]

il nostro sito risulta affetto dal malware in oggetto (Blackhole Exploit Kit type 2324)
come facilmente riscontrabile da AVG.

Trattandosi di un alterblog non possiamo accedere via FTP e pertanto non possiamo neppure appoggiarci ad un servizio di clearing quale per esempio quello offerto da sucuri.net.

La domanda è: cosa dobbiamo fare??

Vi prego aiutateci!

[darkwolf]

Entrandoci non mi da alcun avviso (non bene), e da una scansione con virustotal ho solo un warning: virustotal.com:scan
Ma da una scansione ulteriore risulta chiaramente un malware (presente anche dai sorgenti): http://sitecheck.sucuri.net/results/...altervista.org
-
Quindi sì, sei infetto (e il mio browser non ha notato nulla - non mi piace)
... Detto ciò, anche senza ftp puoi ripulire il tuo blog. Esistono infatti dei plugin che fanno da filebrowser (al pari di un ftp), ma più probabilmente lo script è stato inserito via plugin o iniettato direttamente nel tema (quindi potrai usare gli strumenti presenti direttamente su wordpress per cercare lo script e rimuoverlo).

[soloscacchi]

Grazie, è più o meno quanto eravamo riusciti a capire anche noi...
Solo che non riusciamo a trovare il codice infetto... potete essere più precisi magari indicando il plugin da installare per la pulizia?

Quello di sucuri.net non va bene perché gli occorre l'accesso via ftp, idem per Wordfence. Gli altri non trovano nulla... son tre giorni che ci impazziamo dietro... Abbiamo paura di essere finiti in un vicolo cieco, vi prego dateci qualche consiglio concreto...

Grazie!!!

[darkwolf]

Io non faccio parte dello staff tecnico... Proverei questi passi:

1) Disabilitare tutti i plugin presenti (verificare se il virus è ancora attivo e se attivo procedere con il passo 2);

2) Installazione nuovo tema (per verificare che non sia il tema ad essere infetto e se risolve abbiamo scoperto dove sta il problema - altrimenti proseguire con il passo 3);

3) installare http://wordpress.org/extend/plugins/wp-filemanager/ e, con molta cautela, cercare il file modificato e togliere il malware (probabilmente, arrivati a questo punto, sarà l'index.php).

Il tutto con pc pulito e account con password sicura (altrimenti va a finire che ti reinfetti un attimo dopo).

[soloscacchi]

Grazie... ora provo :-)