Důležité Napadení Joomly 3

Tak jsem dostal k Vánocům dáreček. Napadli mi webhosting. Nevím, jestli už ho tu někdo zmiňoval, ale jedná se o tohoto červíka - Hacked BY Alfabetovirtual, Imam
Mám multihosting u Savany. Protože jsem měl v každém adresáři (tedy u každé domény) textový soubor s výše uvedenou hláškou, bylo to pravděpodobně přes FTP. Nevím. To by ale nebylo tak hrozné. TXT soubor nic nedělá. Samotné weby to taky neovlivnilo. Bohužel se u dvou domén dostal i do souborů. Buď je doplnil o nějaký škodlivý kód nebo přidal celé soubory. Bylo to ale rozházené po celé Joomle. Všude možně. Bohužel to nešlo identifikovat podle změny data souboru (což je při napadení často jedna z indicií). Zajímavé je to, že napadl dva weby, které běží na Joomle 3. Podpora na Savaně mi samozřejmě domény ihned odstavila a po dvou denní bitvě jsem ty soubory (doufám) všechny našel a buď opravil nebo smazal. Pak jsem změnil heslo do FTP, dále hesla do administrace Joomly a samozřejmě zkontroloval aktualizace jak Joomly samotné, tak jejich rozšíření. Podpora mi pak i poradila, jak lze alespoň některé soubory identifikovat přes SSH a Putty. Můžu když tak poradit...
Dávám to sem pro ty, kterým byl taky web napaden a potřebovali by pomoct a taky pro ty, co by mohli poradit, jak lze napadené soubory ještě jinak identifikovat a najít.
Pěknej zbytek svátků

Stáhni si tenhle script, přímo ze savany. Detekuje malware a funguje docela dobře.
www.savana.cz/napoveda/ostatni/ostatni/detekce-malware/

Bohužel funguje jen na některé soubory. Samozřejmě jsem to s tímto souborem projel nejdříve, ale byly tam ještě další soubory, které to neodhalilo. Vzhledem k tomu, že to "sahalo" do všech adresářů, tak to muselo být přes hlavní FTP účet. Tak jsem zvědav, jak dlouho bude klid
Ještě jsem přemýšlel, jak to ten hajzlík udělal, že nebylo změněno datum u změněných (zasažených) souborů.

Přidávám odkazy na detekci malware co občas používám. Sice to není 100% jistota, ale třeba se někomu hodí:
sitecheck.sucuri.net/
app.webinspector.com/
www.urlvoid.com/