Traffico email temporaneamente bloccato

In data 7.5.2017 ho ricevuto il seguente messaggio

"Gent. Webmaster,

durante le ultime 24h abbiamo rilevato un flusso anomalo di emails inviate dal tuo sito.
Questo può essere dovuto alla presenza nel tuo spazio web di applicativi (forum, blog, CMS...) affetti da problemi di sicurezza e utilizzati da terze parti per inviare spam.

Al fine di prevenire abusi di servizio l'invio di email dal tuo sito è stato temporaneamente bloccato, il nostro intervento è mirato a tutelare non solo la sicurezza del tuo sito web ma anche quella della comunità stessa di internet, in quanto una porta aperta agli spammers rappresenta un danno per tutti.

Ti preghiamo quindi di:

1) Controllare ed eventualmente aggiornare i tuoi applicativi alle ultime versioni
2) Modificare la password d'accesso al tuo sito e verificare che non sia in possesso di altri
3) Verificare che il tuo PC non sia affetto da virus/worms

L'invio delle email dal tuo sito potrà essere riabilitato cliccando sul link che trovi di seguito.

[...]"


Ho fatto tutto quello che mi è stato chiesto, ma ho ho più l'accesso, non ho più file e ho perso tutto.

Cosa posso fare!?

[karl94]

Non hai perso nulla. La tua installazione di WordPress è evidentemente gravemente compromessa da malware, accedi via FTP e rimuovi tutte le modifiche apportate dal malware.

Da ftp riesco a copiare file, però dal gestore web continuo ad avere il messaggio

"Non riesco ad accedere ai tuoi files, può essere un problema transitorio dovuto ad un aggiornamento o guasto, in questo caso se il fatto persiste per oltre 2 ore consecutive inoltra una segnalazione nel forum."

[karl94]

È normale: devi prima rimuovere ogni traccia del malware, poi richiedere lo sblocco.

Scusa, ma come faccio a sapere se ho rimosso tutto il malware?

Ho trovato e sostituito con il suo originale un file che aveva cose strane (ed era datato proprio 7.5.2017, data del blocco). Non ho trovato altro. Ho richiesto quindi lo sblocco (utilizzando il link del messaggio di "Traffico email temporaneamente bloccato", giusto?)

Cosa posso/devo fare ancora?

Grazie mille per il supporto!

M.

Il sito NON è ancora stato riattivato!!!

Ma qualcuno può fare qualcosa!?!?!

Grazie!

[darkwolf]

Dal 18 ad oggi, considerando il week-end, è passato davvero pochissimo (anche se immagino che da parte tua possa sembrare un tempo smodato). Se hai segnalato la rimozione del malware, e la rimozione è effettivamente avvenuta, il traffico verrà ripristinato (ma, perdonami, non riesco a darti una tempistica esatta in questo istante. comunque non dovrebbe passare molto tempo).

[essereluce]

Buongiorno,
ho ricevuto lo stesso avviso. Sul sito non ci sono forum né blog e non so cosa sia un CMS. Wordpress è aggiornato, la password non è in possesso di potenziali danneggiatori e il pc è protetto da un antivirus a pagamento che copre ogni possibile problema.
Vorrei sapere:
- come posso verificare che tipo email sono state inviate e a chi
- come posso impedire che il problema si verifichi nuovamente
Il sito è https://essereluce.it/
grazie

[alemoppo]

né blog e non so cosa sia un CMS. Wordpress è aggiornato

Wordpress è un CMS.
Hai per caso installato qualche plugin che potrebbe avere qualche falla? (li hai presi tutti dal pannello di wordpress o hai caricato qualche plugin-tema da terze fonti?)

Ciao!

[essereluce]

Ciao Alemoppo, non sono io il webmaster, ma credo che tutti i plugin siano stati presi dal pannello di wordpress.

Non comprendo il contenuto dell'email che ho ricevuto. Per favore, mi puoi spiegare cosa significa "abbiamo rilevato un flusso anomalo di emails inviate dal tuo sito"? Come fa un sito a inviare email? Non è una casella di posta... e da quale indirizzo le avrebbe inviate?

Grazie

[alemoppo]

Come fa un sito a inviare email? Non è una casella di posta...

No, non è una casella di posta e infatti non può riceverle. Però può inviare tramite la funzione mail() di PHP.

Ciao!

[essereluce]

Questa mattina ho ricevuto di nuovo l'email di avviso.
Per favore, mi puoi dare delle indicazioni per trovare la causa dell'invio di email?
Sto cercando di capire cosa accade, altrimenti non ho proprio idea di come rimediare... Grazie per tutte le info che mi puoi dare
buona giornata

[essereluce]

e cosa succede se non sblocco il traffico email dal mio sito?

[essereluce]

mi vengono in mente altre informazioni che possono essere utili alla ricerca della causa del problema.
Io ho acquistato il dominio da Altervista, ma il nuovo sito è su un altro host scelto dal webmaster. Su altervista rimangono le vecchie pagine scritte in html (da me) che sono state "svuotate" e contengono il reindirizzamento alle nuove pagine.
Questo può restringere la ricerca della causa del problema?

[alemoppo]

e cosa succede se non sblocco il traffico email dal mio sito?

Che il tuo sito non potrà inviare email.

Per favore, mi puoi dare delle indicazioni per trovare la causa dell'invio di email?

Purtroppo non avendo accesso ai file è difficile indicare il problema. Se guardi tra i file, noti qualche file .php strano?

Io ho acquistato il dominio da Altervista, ma il nuovo sito è su un altro host scelto dal webmaster. Su altervista rimangono le vecchie pagine scritte in html (da me) che sono state "svuotate" e contengono il reindirizzamento alle nuove pagine.

No, questo secondo me non centra nulla con il problema. Poi semplici pagine html (con estensione .html) non possono inviare email. Comunque se il sito è trasferito potresti risolvere anche eliminando l'account.
Puoi chiedere al webmaster cosa gli fa preferire l'altro servizio hosting rispetto AlterVista?

Ciao!

[essereluce]

sono andata a controllare i file caricati su altervista e in effetti ci sono dei .php (sono passati anni da quando li ho creati... me ne ero dimenticata) ho provato ad aprirli, a cancellarli... niente, non mi è più possibile. Su pc ho ancora i testi sorgente originali. I php servivano solo per assemblare i moduli che componevano le pagine (testata, menù, corpo, footer) che sono file .htm o .html
Non vedo php con nome diverso da quelli che ho attribuito io, però sono molti e qualcosa potrebbe essermi sfuggito...

Forse la cosa migliore è impedire l'invio di email dal sito? Si può fare? Il plugin per l'iscrizione alla newsletter (rapidmail) continuerà a funzionare?

La preferenza di un altro host è stata causata da una scarsa assistenza. Inizialmente era stata scelta Altervista per l'hosting perché io la usavo già: in maniera autodidatta avevo creato un sito. Ero presente quando il webmaster ha caricato su altervista il nuovo sito (wordpress) e alcune cose non funzionavano, non è stato possibile avere un'assistenza immediata e le risposte che poi sono arrivate tramite il forum non erano sufficienti a risolvere i problemi. Il webmaster aveva già dei clienti su un altro host, abbiamo deciso di spostare il sito, parte dei problemi si sono risolti automaticamente, altri sono stati risolti in brevissimo tempo grazie all'assistente che via chat ha guidato passo spasso sul da farsi. Mi dispiace darvi questo feedback, ma spero che lo possiate usare per migliorare il rapporto con i vostri clienti

[alemoppo]

Sì, i servizi esterni di newsletter continueranno a funzionare perché non utilizzano direttamente la funzione mail() di PHP. Di solito su AlterVista usano mailchimp, ma se sei riuscita a configurare quel servizio dovrebbe funzionare comunque correttamente.

Se hai comunque ricevuto quell'avviso e ti sono state disabilitate le email, ci deve essere uno script che permette l'invio di email nel tuo spazio. Potresti risolvere non riabilitandole, però comunque si tratta di una vulnerabilità e sarebbe meglio scoprirla.

Se nei tuoi file .php non hai mai utilizzato la funzione mail(), hai un form di upload file dove un malintenzionato potrebbe caricare un file e infettare il sito?

Ciao!