Site sendo invadido, Preciso de ajuda profissional. Urgente

Caros,

Trabalho com um site em joomla + virtuemart a uns três anos e nunca tive problema antes.

Porém, faz 15 dias meu site foi invadido, a logo some um monte de funcionalidade do site para de funcionar, o acesso ao admin some também.

N pasta raiz do site aparece um monte de arquivo, 22 deles o antivírus do servidor pega como vírus, aparece um script que da para se fazer upload para o servidor com ele etc..

ontem foi invadido de novo.

É a segunda vez que tenho que deletar tudo e começar restaurar o BKP.

Obs.

Mu site esta na versão 1.5.17
As permissão das pastas estão corretas
Arquivo configuration.php eu tirei da pasta raiz
o arquivo .htaccess não esta como txt
não tenho super adimin com nome padrão
tenho componente que esconde o admin do site não da para acessar no caminho padrão
pasta admin é protegida por senha no servidor.

Bom resumindo acredito que o invasor esta se aproveitando de alguma falha no joomla ou de algum componente e instala algum script no meu site que lhe da de alguma forma
acesso e ate conseguir fazer upload.

Eu preciso descobrir por aonde que vem esses ataques.

Quem conhecer a fundo e que consiga rastrear por onde o invasor se conecta favor informar seu contato celular, msn ou e-mail.

Se puderem me indicar alguém também fico grato.

vse instala template usando quickstart?
liste os componentes instalado.

atenciosamente.
( não sou expert. mas tento ajudar <!-- s:ugeek: --><img src="{SMILIES_PATH}/icon_e_ugeek.gif" alt=":ugeek:" title="Uber Geek" /><!-- s:ugeek: --> )

Rafael Fontoura

Olá sim eu usei na epoca o quickstart

E agora q to reparando meu template é igual esse aqui do forum JA_SanidineII_Light

Já uso a muito tempo e só agora comecei ter esse problema!

Componente que estão instalados

AcyMailing Habilitado 1.1.3 February 2010 Acyba
2 Banners Habilitado 1.5.0 April 2006 Joomla! Project
3 Chrono Contact Habilitado 3.1 RC5.5 04 Aug 2009 Chronoman
4 CK Forms Habilitado 1.3.0-b2 2009 07 19 Cookex Developpment Team
5 comprofiler Habilitado 1.1 2007-08-08 JoomlaJoe and Beat
6 jsecure Habilitado 2.1.0 2008-08-28 Ajay Lulia
7 Newsfeeds Habilitado 1.5.0 April 2006 Joomla! Project
8 PhocaGuestbook Habilitado 1.3.2 25/02/2009 Jan Pavelka
9 Polls Habilitado 1.5.0 July 2004 Joomla! Project
10 VirtueMart Habilitado 1.1.4 16.10.2009 The VirtueMart Development Team
11 Weblinks Habilitado 1.5.0 April 2006 Joomla! Project
12 Content Page Habilitado 1.5.0 April 2006 Joomla! Project
13 Cache Manager Habilitado 1.5.0 2006 Joomla! Project
14 Configuration Manager Habilitado 1.5.0 2006 Joomla! Project
15 Contact Items Habilitado 1.0.0 2006 Joomla! Project
16 Control Panel Habilitado 1.5.0 2006 Joomla! Project
17 Installation Manager Habilitado 1.5.0 2006 Joomla! Project
18 Language Manager Habilitado 1.5.0 2006 Joomla! Project
19 MailTo Habilitado 1.5.0 April 2006 Joomla! Project
20 Mass Mail Habilitado 1.5.0 April 2006 Joomla! Project
21 Media Manager Habilitado 1.5.0 April 2006 Joomla! Project
22 Menus Manager Habilitado 1.5.0 2006 Joomla! Project
23 Messaging Habilitado 1.5.0 2006 Joomla! Project
24 Module Manager Habilitado 1.5.0 2006 Joomla! Project
25 Plugin Manager Habilitado 1.5.0 2006 Joomla! Project
26 Search Habilitado 1.5.0 2006 Joomla! Project
27 Template Manager Habilitado 1.5.0 2006 Joomla! Project
28 User Habilitado 1.5.0 2006 Joomla! Project
29 User Manager Habilitado 1.5.0 April 2006 Joomla! Project
30 Wrapper Habilitado 1.5.0 2006 Joomla! Project

Tem alguma diferença em instalar com o quickstart ?

Obrigado por sua resposta.

Veja se o Register globals esta abiulitado.

Se estiver desabilite.

Eu tive ium problema parecido com o seu recentimente, o site era derrubado todo dia.

foi só eu desabilitar o register_Globals e os problemas acabaram.

Aguiar1000 escreveu: Veja se o Register globals esta abiulitado.

Se estiver desabilite.

Eu tive ium problema parecido com o seu recentimente, o site era derrubado todo dia.

foi só eu desabilitar o register_Globals e os problemas acabaram.

O Meu o cara não derruba, eu estou impressionado como ele consegue fazer upload de arquivos..

Onde esta exatamente register_Globals ?? procurei em configuração global mais não achei

Já procurei muita coisa sobre a segurança do joomla no google e o que fui achando eu fiz.

*Remover o configuration.php da pasta raiz do site.
*mudar o .htaccess
*verificar permissão de pastas.
*Mudar o super admin não deixar padrão
*troquei a senha do servidor
*direi o acesso direto do site MEUSITE/ADMINISTRATOR se tentar acessar por ai cai na pagina home do site.
*Coloquei uma senha direto no servidor para a pasta "Administrator"
*o joomla esta na versão atual 1.5.17
*Virtuemart també na atual 1.1.4

Após fazer isso eu crente que tinha resolvido o problema se passou 13 dias e nada quando foi hoje de madrugada 31/05 - Aconteceu exatamente igual a primeira vez.

O site sumio a logo, o admin some não vai para página de acesso padrão, na pasta raiz do site e em outros diretórios aparece um monte de arquivo, mais de 30 e 22 deles o antivirus do servidor identifica como virús.

Aparece um com o nome de gohack.php

Dentro dele tem o nome

-= Simple PHP Injection By Zreg 2010 =-

Ele é tipo um formulário que o cara consegue fazer até upload de arquivos.

Resumindo eu deletei toda a pasta raiz do site e restaurei um bkp.

O site esta funcionando novamente "porém" aposto que o cara vai me atacar de novo!

Preciso de algum freelancer que consiga ir a fundo para descobrir de onde vem isso, se é algum componente, se é algum script que tenho no site e não estou conseguindo achar.

Alguma coisa o invasor esta usando para conseguir esse acesso... Porém o QUE ?