ÚLTIMA ENTRADA
Ataque masivo de Hackers a Wordpress
Llevamos desde el Lunes pasado recibiendo notificaciones de colegas en EEUU que reportan infecciones masivas en Wordpress. Por lo visto, todavía se desconoce el origen del ataque, pero parece ser ajeno a Wordpress, ya que como bien indican en El Pais, si así fuera se habría infectado con mayor rapidez dada la gran popularidad de Wordpress. Por lo tanto, las explicaciones apuntan a que puede tratarse de un plugin, que crea o explota una vulnerabilidad, o que alguien que ha perdido muchas contraseñas… La cuestión es que el ataque no ha sido en un solo servidor privado, sino que en el ojo del huracán han estado algunos de los más famosos proveedores de alojamiento estadounidenses: GoDaddy, Dreamhost, BlueHost y Media Temple.
¿Qué ha pasado?
No hemos visto muchas noticias sobre el tema, por lo que quizá las alarmas empezarán a sonar fuerte durante lo que resta de semana. Muchos expertos analizan ya el problema para tratar de establecer su alcance. Otro indicador que puede esclarecer algunos interrogantes es el hecho de que no hay constancia de ataques a servidores privados, ni a una cosa especifica de una sola empresa. El único punto en común que comparten los sitios infectados era que formaban parte de servidores compartidos. Como hemos comentado antes, el origen del ataque no esta claro y podría ser tanto un ataque de fuerza bruta como en un robo masivo de contraseñas.
Según H Open, los sitios web atacados parecen estar infectados con scripts, que no solo instalan malware en el sistema sino que también evitan que los sistemas de seguridad y alarmas de los navegadores como Firefox o Google Chrome (ambos utilizan Google’s Safe Browsing API) envíen alertas de las páginas infectadas.
Cuándo el robot de Google accede a una pagina infectada, devuelve un código inofensivo. Esta estrategia de camuflaje permite hacer uso maligno del código que normalmente utilizamos los desarrolladores para ejecutar un determinado código en función del navegador que utilize el usuario.
El código malicioso se carga a traves de los siguientes hosts:
- http://www.indesignstudioinfo.com/ls.php
- http://zettapetta.com/js.php
- http://holasionweb.com/oo.php
Solución
Para alegría de todos, David Dede de Sucuri Security nos aporta una solución sencilla y limpia para descontaminar los sitios con Wordpress infectados. Puedes hacerlo a través de SSH o vía web.
Solución para desinfectar los blos afectados vía SSH:
$ find ./ -name "*.php" -type f | \ xargs sed -i 's###g' 2>&1 $ find ./ -name "*.php" -type f | \ xargs sed -i '/./,$!d' 2>&1
Si no puedes acceder vía SSH, puedes subir este archivo a tu servidor y ejecutarlo:
$dir = "./"; $rmcode = `find $dir -name "*.php" -type f |xargs sed -i 's###g' 2>&1`; echo "Malware eliminado.\n"; $emptyline = `find $dir -name "*.php" -type f | xargs sed -i '/./,$!d' 2>&1`; echo "Lineas vacias eliminadas.\n";
Seguimiento en la red:
- Sucuri Security
- Wordpress Forums: 2.9.2 site hacked
- Detalles técnicos del código malicioso
- FayerWayer: WordPress bajo ataque a gran escala
- TG Daily: Hackers target WordPress in large scale attack
