Me han hackeado mi FTP

[manolo_manolo]

Hola, lo que acabo de ver que han hecho con mi servidor me ha dejado... flipado.

Han hackeado mi servidor FTP, han instalado una TIENDA ONLINE (la cabecera enlaza a www.cheaperjordans.com), han verificado con un archivo de google una cuenta en Google, metiendo en mi servidor el archivo que te da Google para verificar el sitio.

Y todo esto sin yo darme cuenta. He visto que incluso hay archivos con antiguedad de 1 mes, osea que llevan trasteando mi web un montón de tiempo, por suerte (o por desgracia porque me hubiera dado cuenta antes) nunca ha dejado de funcionar la web.

Rebuscando en los archivos habían enlaces a todo tipo de tiendas online, por ejemplo esta: es.aliexpress.com

Ahora me encuentro que no sé que hacer, he cambiado la contraseña de FTP, he eliminado la cuenta de google que se habían hecho ([email protected]), pero no sé si habrán dejado algun archivo pirata dentro para hacer algo después...

Es la primera vez que me pasa, y me siento muy muy impotente, han hecho lo que han querido y yo sin darme cuenta...... algún consejo/medida? Mil gracias!!

[stormy]

¿Has contactado con tu proveedor de hosting? Tienes que averiguar por dónde ha venido el ataque.

[lauser]

No creo que tu proveedor te pueda ayudar mucho..... se supone que los backups tambien estarán con archivos modificados. Si vas guardando copias en tu pc, lo ideal seria borrar todo y subirla de nuevo. A no ser que accedieran por SSH, entonces la cosa cambia.

[manolo_manolo]

Pues he enviado un mensaje a ver que me dicen... son de OVH.

OVH me proporciona restaurar una copia de seguridad con 5 fechas atrás, 1 día, 2 días, 3 días, una semana y dos semanas. El problema es que he visto archivos de más de 1 mes de antigüedad, de ahí que tenga que estar atento a partir de ahora.

El miedo me ha dado que justo activó su cuenta de Google webmaster el día 21, justo el mismo día Google me envió un pago de Adsense. Gracias a dios el pago me ha llegado hoy, y el "tiparraco" este no llegó a cambiar el número de cuenta... Y realmente no sé si habrá podido cambiar algo peligroso internamente... en fin esto es una.....

[franciscomarin]

Esto pasa por no utilizar contraseñas seguras...

En fin, no restaures ninguna copia de seguridad porque seguramente todas las que tu proveedor te pueda facilitar ya están cambiadas. ¿Es mucha locura que vuelvas a empezar de cero?

Al igual que tu proveedor es muy probable que ya no guarde logs tan antiguos y tampoco te pueda ayudar para descubrir direcciones IPs y demás.

[manolo_manolo]

franciscomarin la contraseña era de 16 caracteres con letras minúsculas y mayúsculas y numeros, la he cambiado hasta 20 caracteres, poco más puedo hacer, pero la contraseña no era para nada fácil, eran caracteres aleatorios.

Volver a empezar de cero... es una web que se ha generado contenido durante los últimos 5 años. Ahora estoy atento, comprobando todos los días que no ocurra nada.

[CoriaWeb]

¿Has probado a poner la web en un proveedor que disponga de pyxsoft para revisar si tienes código malicioso?

Ese programa no es que sea "dios", pero seguro que puede ayudarte a limpiarlo.

También deberías de cambiar las contraseñas de todo, no sólo el FTP.

Saludos!

[stormy]

¿Usas algún CMS como Joomla, Drupal o Wordpress? ¿Tenías todo actualizado?

[NueveReinas]

Para variar en preguntas, ¿alguien ha tenido acceso físico a tu equipo? ¿algún pendrive no conocido ha estado conectado a tu PC? ¿has instalado algo "pirata" últimamente? Quizá el problema venga desde el dispositivo, y no desde la red.

[manolo_manolo]

Iniciado por CoriaWeb

¿Has probado a poner la web en un proveedor que disponga de pyxsoft para revisar si tienes código malicioso?
Ese programa no es que sea "dios", pero seguro que puede ayudarte a limpiarlo.
También deberías de cambiar las contraseñas de todo, no sólo el FTP.
Saludos!

No sé ni lo que es pyxsoft la verdad, pero a que te refieres a migrar la web a otro servidor??

Iniciado por stormy

¿Usas algún CMS como Joomla, Drupal o Wordpress? ¿Tenías todo actualizado?

La verdad es que sí, de WordPress 3.9.6, y está la 4.2.2.... ya estoy en ello...

Iniciado por NueveReinas

Para variar en preguntas, ¿alguien ha tenido acceso físico a tu equipo? ¿algún pendrive no conocido ha estado conectado a tu PC? ¿has instalado algo "pirata" últimamente? Quizá el problema venga desde el dispositivo, y no desde la red.

No, nadie ha tenido acceso. Si han conseguido la contraseña ha sido a modo de hackear el servidor ftp o mi pc... pero me parece demasiado "hacker" para lo que en realidad han hecho... instalar una tienda sin tocar nada de lo que había...

[franciscomarin]

Iniciado por manolo_manolo

No sé ni lo que es pyxsoft la verdad

Es una especie de antivirus para hosting que detecta la mayoría de los malwares, scripts peligrosos, etc., tipo LMD pero algo más completo.

Iniciado por manolo_manolo

pero a que te refieres a migrar la web a otro servidor??

Si, eso te propone aunque yo en este caso discrepo. Estoy convencido que lo que han subido no contenia malware, simplemente te han instalado una tienda en algún directorio o lo que sea pero serán archivos que ningún "antivirus" detectará como "virus" (para que me entiendas).

Iniciado por manolo_manolo

La verdad es que sí, de WordPress 3.9.6, y está la 4.2.2.... ya estoy en ello...

Es muy importante mantener los CMS, sus plugins y themes actualizados siempre a la última versión. Las actualizaciones además de incluir nuevas funciones arreglan problemas de seguridad y precisamente no son pocos.

Iniciado por manolo_manolo

ha sido a modo de hackear el servidor ftp o mi pc...

O con alguna vulnerabilidad de una instalación de WordPress antigua o algún plugin que algún problema de seguridad. O como te dije... una contraseña poco segura (ataque de fuerza bruta).

Iniciado por manolo_manolo

pero me parece demasiado "hacker" para lo que en realidad han hecho

La mayoría de este tipo de cosas se meten en tu página de tal modo que no alteren su funcionamiento. Si lo alteran te darías cuenta en seguida y pondrías remedio, si tu no te enteras se queda de por vida.

Cualquier hacker aunque sea el más malo del mundo lo hará de tal forma que tu no te enteres. Mira si no el CryptoPHP, uno de los que más están afectando ultimamente a los CMS (WordPress el primero en la cabeza).

[stormy]

Si tienes ese Wordpress sin actualizar (y lo mismo sus plugins y themes) ya sabes por dónde te han entrado.

[GeniosWeb]

Todas las veces que he visto problemas similares resultó que no habían hackeado el servidor, si no que hackearon la pc personal del webmaster y de ahí sacaron la contraseña para entrar al servidor. Es lo más común y lo mas facil, ya que normalmente la gente instala cosas en su máquina que no sabe lo que tienen adentro, y no importa cuantos antivirus y antitroyanos tengas, siempre hay alguno que se escapa. La única forma de estar seguro que no te hackean la pc de trabajo es no instalar nada raro, nada que venga de una fuente desconocida, nada pirata y si lo tenés que hacer tenes que revisar el codigo fuente, de lo contrario ni lo instales. Para trastear tenés que tener otra pc o al menos una pc virtual

[GeniosWeb]

No importa que tan segura sea tu contraseña y cuantas veces la cambies, si al cambiarla le llega un email a un hacker ruso o chino con la nueva contraseña

[manolo_manolo]

La verdad que hasta que no te pasa algo de esto no te das cuenta realmente que somos muy vulnerables la gente de a pie. Tengo todo actualizado y he reforzado todas las contraseñas, y desde que me pasó he estado revisando diariamente todo y de momento sin problemas... Seguiré atento, y mil gracias a todos por vuestras ayuda/consejos!!

[jaime82ad]

Hola Manolo,
La verdad que Wordpress es una plataforma en la que aparecen bastantes vulnerabilidades, por lo que tener siempre la última versión es imprescindible para evitar estos casos.
Luego hay otros problemas derivados a tener en cuenta, los plugins o addons, que no están desarrollados por el equipo de wordpress y también tienes sus fallos, esto es aún mas grave ya que las actualizaciones no siempre salen cuando se detectan y a veces ni se corrigen o tardan mucho en corregirse.
Y por si fuera poco las plantillas o themes, que también pueden tener código vulnerable.
Mis consejos al respecto son:

• Actualiza Wordpress siempre a la última versión.
• Utiliza algún plugin de seguridad.
• Minimiza el uso de plugins de terceros.
• Utiliza plantillas profesionales.

Otra cosa sobre contraseñas, utilizar contraseñas de 16 caracteres es inútil, con 8 caracteres alfanuméricos es suficiente, las contraseñas no se obtienen mediante fuerza bruta en estos casos.

Por otro lado como dice GeniosWeb, muchas veces tenemos software pirata en nuestro equipo, como el office, photoshop... incluso el propio sistema operativo, la mejor opción es tener un segundo sistema operativo limpio, desde el que subir archivos, administrar la web etc, por ejemplo un ubuntu o linux mint. Piensa que cuando tienes software pirata alguien ve lo que haces.

Y por último, para tu correo electrónico activa la autentificación en dos pasos.

Un Saludo.

[Gabriel_Guzman]

Si usas Wordpress es muy probable que sea un plugin vulnerable o no actualizado. Especialmente en estos últimos 2 meses muchos sitios especializados en Wordpress y de venta de plantillas han advertido de vulnerabilidades en plugins de gran uso que permiten ataques XSS

Aquí uno de los artículos

http://www.seguridadwordpress.com/cientos-de-plugins-de-wordpress-afectados-por-vulnerabilidad-xss/

Tambien te recomiendo el uso de algún plugin de seguridad como https://wordpress.org/plugins/wordfence/

[GeniosWeb]

Los ataques de xss no tienen capacidad de crear o modificar archivos, por lo cual no creo que sea el problema en este caso