Hi all,

Plusieurs propriétaires de sites web galèrent aujourd’hui a cause des attaques (hack) par la balise HTML <iframe>. Ce genre de hack consiste a placer un <iframe> généralement dans la page index (index.htm index.html index.php ….) qui charge d’autres scripts/ActivX ou autres badwares (warm, trojan….) a partir d’un site web bien définit dans l’iframe.

Il est déjà difficile de faire attention au hack vu que l’iframe est généralement caché (en utilisant la propriété CSS visibility: hidden par exemple) et très bien camouflé (appelé via des scripts en javascript ou autre) et brusquement le site victime est signalé dans les résultats de google comme étant un site malveillant et cela est bien sur après avoir infecter les machines des visiteurs avant d’être découvert.

La question qui se pose est alors -évidemment - comment se protéger contre ce genre d’attaque par iframe? Et si notre site est victime par une attaque iframe comment on pourra résoudre le problème?

On commence déjà par expliquer la nature de l’infection: Cette attaque consiste a infiltrer une machine par un logiciel dont le rôle est de chercher et de détecter toute connexion ftp sur un site. Ensuite, il suffit de chercher les pages index.* et d’y introduire l’iframe. La source du problème est donc sur la machine du propriétaire du site et pas sur le serveur sur lequel le site est hébergé.

Pour se protéger de ce genre d’attaque, il suffit (normalement et tout comme la protection contre n’importe quel virus) d’avoir un antivirus fiable et mis à jour en permanence.

Mais si on est déjà victime, là il y a beaucoup de travail à faire
La solution pour résoudre le problème d’attaque ou hack par iframe:

1. Avant tout, il faut scanner son ordinateur avec son antivrus et même avec un anti-malware. D’ailleurs normalement l’antivirus Avast détecte ce genre de virus même avec la version gratuite, (cette information est a confirmer, n’hésitez donc pas à la tester et à donner vos feedbacks )
2. Ensuite, et après le nettoyage de l’ordinateur, il faut vérifier la source de votre site web et chercher toutes les pages qui contiennent des iframe. Normalement un bon webmaster n’utilise jamais d’iframe sauf s’il n’y a pas d’autres solutions, vous êtes donc censé savoir lesquels des iframe sont des badware . Une fois on a trouvé tous les ifrmae, il suffit juste de les supprimer. Je sais que c’est pénible surtout si on a un très grand site mais il y déjà des logiciels qui permettent de lancer la recherche d’un mot ou d’une phrase dans les fichiers d’un dossier comme par exemple notepad++
3. La troisième étape consiste à changer vos identifiants ftp (au moins le mot de passe) et à uploader une copie saine de votre site (que vous aurez déjà créer récemment avant d’être infecté)
4. La dernière étape est tout simplement de demander a google que votre site n’est plus infecté et qu’il peuvent enlever l’alerte sur votre site sinon vous pouvez toute fois demander ça directement à StopBadWare.org[en] le prestataire de google chargé de la protection anti-malware.

Voilà, j’éspère avoir aider beaucoup de gens avec cette solutions. Vos feedbacks ainsi que vos retroliens seront toujours appréciés

Edit: Il semble que ces hackeurs exploitent déjà des failles présentent sur les sites victimes et plus exactement des requêtes GET et POST non protégés. Une liste des failles detectées sur le CMS phpBB comme exemple. Pensez donc à mettre à jour votre CMS si vous en utiliser un sinon de bien protéger vos requêtes GET et POST si vous avez developper votre vous même. Merci à Alex pour l’info

Edit 2: Autre astuce à ajouter à celles listées ci-dessus (sera la 5e étape normalement ): il faut aussi supprimer l’historique de connexion (identifiants) de filezilla. Merci Dilettante pour l’info (un lien en dofollow comme cadeau )

Edit 3: Un script pour protéger votre site contre les injections.

Articles similaires:

1. Solution pour le virus ntdll64.exe
2. problème avec phpmotion? voilà la solution..
3. Protéger son site avec un fichier .htaccess
4. Cybergang de 6 personnes qui controle plus de 1,9 millions de PC