1&1 bloque le serveur de mon site. Besoin d'aide

WRInaute discret
Bonjour,

J'ai un site hébergé chez 1&1 depuis 2009. Je passe par un serveur vps et je n'ai jamais eu de problème jusqu'à cette semaine.

Je ne sais pas pourquoi, mais il y a 15 jours, dès que je me connectais sur mon site, avast me détectait un virus. J'ai étudié tous le code source mais je n'y voyais aucun liens suspect, aucune anomalie visuelle. Plus étonnant encore, si je tapais le nom de mon site sur google (pas l'url), lorsqu'il affichait les résultats, avast me détectais aussi un virus. Alors que n'avais même pas ouvert le site.

Bref, je me dis que je dis que mon site à peut-etre été blacklisté chez avast sans raisons apparente.

Je fais un mail au service "blackliste" d'avast demandant de vérifier si c'est normal.

24H après, plus de problèmes. Le site fonctionne à nouveau sans qu'avast s'emballe.


1 Semaine plus tard, je me connecte sur le site et une page d'erreur apparait. J'essaye de me connecter via ftp et impossible.
J'essaye depuis viruozzo et impossible aussi. Je constate que dans l'admin 1&1 une mention "bloqué" à coté de mon domaine.

Je contacte 1&1 par mail (service uniquement joignable par mail) et ils me répondent :

Votre serveur a été piraté. Il exécute un
contrôleur de botnet malveillant, utilisé pour contrôler les ordinateurs
infectés dans le monde entier (bots), en utilisant un cheval de Troie.

En conséquence, votre adresse IP a été blacklisté par Spamhaus. Notez bien que
ça compromet gravement nos services de réseau, la sécurité de votre espace
web/serveur et vos clients.

Nous avons maintenant débloqué votre serveur.

Afin de résoudre le probleme, nous vous prions de réinitialiser votre serveur et
de répondre a notre émail dans les prochaines 24 heures.

Je les contactes, ils me débloque le serveur pour 24H.

J'essaye de trouver l'anomalie. Mais tout semble correcte de mon coté, les fichiers sur mon ftp sont garantis sans virus. C'est juste des fichiers php, css, html, aucun programme exe, bat, etc...

Je vais sur le site de Spamhaus et je check mon ip et mon url :

xx.xx.xx.xx is not listed in the SBL
xx.xx.xx.xx is not listed in the PBL
xx.xx.xx.xx is not listed in the XBL

monsite.com is not listed in the SBL

Et je m'aperçois que mon site n'est pas dans leur base de donnée. Je contacte 1&1 pour leur signaler qu'il n'y a pas l'air d'avoir de problème. Mon site n'est pas blacklisté. Et il est en parfait état de marche.

Quelques heures après, mon site est à nouveau bloqué et inaccessible et je reçois ce mail de la part de 1&1 :

Le probleme n'a pas été résolu. Nous avons vérifié maintenant et voilà le résultat:

telnet xx.xx.xx.xx
Trying xx.xx.xx.xx
Connected to xx.xx.xx.xx
Escape character is '^]'.

Votre IP a été delisté par Spamhaus seulement car le serveur était verrouillé et
nous leur avons promis que vous les aurait réinitialisé afin de résoudre
définitivement le problème.

Jusqu'à présent, cela n'a pas été fait et le contrôleur de botnet est toujours
actif.

Encore une fois, ce probleme a une incidence importante sur notre réputation,
nos services de réseau, nos clients et vos clients. Pour cette raison, aucun
délai supplémentaire ne sera accordé.

Nous avons donc verrouillé votre serveur. Il va rester verrouillé jusqu'à ce que
vous allez nous confirmer que vous aller le réinitialiser.

Que se passe t-il réellement? Mon site est dans la légalité, il n'y pas d'histoires de hacking ou autres piratages. Es-ce de ma faute si "leur" serveur à choppé un virus? Ont-ils le droit de me bloquer l'accès au serveurs et à mes données?

J'ai pas pour intention de tous réinitialiser, ca me ferait perdre plus de 20Go de données. Je ne peux pas faire de backup en local car ça prendrait une plombe. Quels sont les solutions à ce genre de problème?

Merci d'avance.
 
WRInaute accro
te fait pas chiez change de serveur, et change tes login et mdp, et passe par SFTP ou SSH et aussi limite la connexion à ton ip publique lorsqu'un bot tente de se connecter au FTP il sera jeter.


quant un problème met plus de 5 jours à se régler change d’hébergeur, méfie toi des CMS et des plugins ou fonctionnalité ainsi que des scriptes tout fait, ceux ci peuvent parfois comporter des backdore ou porte dérobé ils sont gratuit mais facile à détourné, certains logiciel tous fait genre wordpress sont truffé de faille de sécurité, il vaut mieux les mettre régulièrement à jour.

change de Mot de passe et de login régulièrement, et suffisamment complexe pour pas qu'un robot le trouve via brut force et un dictionnaire.
 
WRInaute impliqué
Sirius13 a dit:
Que se passe t-il réellement? Mon site est dans la légalité, il n'y pas d'histoires de hacking ou autres piratages. Es-ce de ma faute si "leur" serveur à choppé un virus? Ont-ils le droit de me bloquer l'accès au serveurs et à mes données?

J'ai pas pour intention de tous réinitialiser, ca me ferait perdre plus de 20Go de données. Je ne peux pas faire de backup en local car ça prendrait une plombe. Quels sont les solutions à ce genre de problème?
Tu t'es fais hacker, quelqu'un à réussi à rentrer dans ton site par un moyen x ou y et il a installé un script sur ton serveur. C'est toi qui est responsable (à moins que tu ais une infogérance mais sur un vps lol). Oui tu compromets la sécu de tout leur réseau.

Ta pas vraiment le choix, il fallait faire un snapshot plus tôt.

Si tu backups tes données tu risques d'infecter un autre pc, c'est pas la solution, prends le contenu de tes sites et refais les, ce sera plus simple.

Bonne chance ;-)
 
WRInaute discret
Merci pour vos conseils. Mais n'y a t-il pas moyen de supprimer ce fichier infecté sur le serveur?

1&1 ne propose pas de solution de backup en ce qui concerne les données stockées sur le ftp?
 
WRInaute impliqué
J'ai quitté 1and1 en mauvais terme, j'avais entre autre un vps chez eux de mémoire tu as des sauvegardes de ton vps automatique.
Tu devrais donc pouvoir restorer une sauvegarde d'avant tes problèmes, néanmoins vu que tu ne sais pas
d'où vient ta faille il serait plus sage de repartir d'un reinit complet de ton VPS et de recharger ton ou tes sites un par un.

Ensuite il te faudra surveiller tes fichiers journaux afin d'etre en mesure de detecter ou voir d'ou viens la faille.
 
Discussions similaires
Haut