Pagina web infectada con dianagar.cz.cc ?!

[kawento101]

De los programas que se han citado anteriormente en mi empresa de automocion utilizamos Internet Explorer , Firefox , un programa de automocion llamado Autodata, Windows XP, y tambien Filezilla , asi que estamos evaluando que por el tema de Filezilla vallan los tiros.

[juanolo]

¿Todos usamos filezilla y guardamos las contraseñas en el?
Si es asi... "lo que sea" ya sabriamos de donde a sacado la info, del archivo xml de filezilla.

Tambien recuerdo que no hace mucho se me actualizo el filezilla y al al dia siguiente se me volvio a actualizar, demasiado rapidas las actualizaciones pero no se. Podria ser un fallo de seguridad del filezilla, un virus, el acceso a una web con alguna aplicacion java, etc. sigue habiendo muchas posibilidades, pero yo creo que el mayor problema a sido filezilla por lo que estoy viendo de momento, a falta de que alguien diga que nunca a usado filezilla ni guardado las contraseñas en el.

[ArturoGallegos]

independientemente de si filezilla tiene una falla de seguridad al no encriptar el xml, creo que deberían preocuparse mas por el antivirus y la integridad de su sistema ya que si hay un virus que se esta aprovechando de la vulnerabilidad de filezilla no dudaría que tienen muchos mas problemas que eso ya que su antivirus esta siendo obsoleto.

tengo poco mas de 3 años utilizando filezilla, ningun ataque desde mi computador, solo he tenido un par de ataques a lo largo de este tiempo (poco mas de 3 años) y fue problema de seguridad por parte de mi cliente.

Iniciado por juanolo

Voto por ello, yo nombro algun programa que e instalado hace poco, o que me parezca importante o sospechoso...

- xtrabuttons (añade botones extra a las ventanas de windows, a veces da error, sopongo q porque es beta).

- Avast antivirus como residente.

- SwishMax Portable.
- Windows 7 Ultimate como SO habitual.
- Hace tiempo un amigo me paso desde su ordenador MAC un ZIP con un .exe que le aparecia automaticamente en su pendrive al enchufarlo. Abri el ZIP sin descomprimirlo y no aparecia el exe en mi PC aunque en su MAC si. Pero nunca llegue a jecutar nada, ni a descomprimir nada puesto que no habia nada. A parte que ningun antivirus a detectado nada, porque no habia exe.

Y cracks nose, hace tempo para un need for speed pero cracks no suelo usar y menos recientes, solo serials.

compañero sirvase revisar el xtrabuttons, y reemplazar forzosamente el SwishMax Portable. (esta es una versión modificada y quiera o no representa un riesgo para su sistema)

el avast antivirus, opinión personal el peor dolor de cabeza de mi vida, las pocas veces que lo instale me dio mas problemas de los que solvento.

su windows ultimate es original o es descargado de la red?

encuanto al archivo exe que su amigo veia en su mac y usted no en su pc, es porque los virus alojados en los pendrive suelen ocultarse con el atrivuto "oculto y protegido por el sistema" por lo cual uste debe desabilitar la opcion de "ocultar archivos del sistema", y asi poder visualizarlo. los diferentes sistemas operativos tienen sus propios métodos para ocultar archivos.

[juanolo]

Iniciado por Ag666

independientemente de si filezilla tiene una falla de seguridad al no encriptar el xml, creo que deberían preocuparse mas por el antivirus y la integridad de su sistema ya que si hay un virus que se esta aprovechando de la vulnerabilidad de filezilla no dudaría que tienen muchos mas problemas que eso ya que su antivirus esta siendo obsoleto.

tengo poco mas de 3 años utilizando filezilla, ningun ataque desde mi computador, solo he tenido un par de ataques a lo largo de este tiempo (poco mas de 3 años) y fue problema de seguridad por parte de mi cliente.



compañero sirvase revisar el xtrabuttons, y reemplazar forzosamente el SwishMax Portable. (esta es una versión modificada y quiera o no representa un riesgo para su sistema)

el avast antivirus, opinión personal el peor dolor de cabeza de mi vida, las pocas veces que lo instale me dio mas problemas de los que solvento.

su windows ultimate es original o es descargado de la red?

encuanto al archivo exe que su amigo veia en su mac y usted no en su pc, es porque los virus alojados en los pendrive suelen ocultarse con el atrivuto "oculto y protegido por el sistema" por lo cual uste debe desabilitar la opcion de "ocultar archivos del sistema", y asi poder visualizarlo. los diferentes sistemas operativos tienen sus propios métodos para ocultar archivos.

De todas formas, Avast ultima version actualizada y valorado como uno de los mejores antivirus gratuitos existentes (si no el mejor) no creo que sea un antivirus "obsoleto". Aunque si valoro mas Kaspersky por ejemplo pero claro, hay que comprar licencia. Avast gustara mas o menos pero malo no es, pero Kaspersky por ejemplo yo si lo consideraria el rey actualmente

El SwishMax Portable, lo acabo de subir a webs que te analizan el archivo con 10 antivirus a la vez y no ha encontrado nada, incluido analisis online de kaspersky, panda, norton y nod32 y ninguno a visto nada en ese archivo, al igual que el xtrabuttons y de ser esos los problemas, deberiamos tenerlos instalados todos o la mayoria, si no, el virus procede de "otra fuente",quitando el xtrabuttons el swish portable lo tengo desde hace años y ningun problema hasta ahora.

Lo del .exe de mi amigo que me paso desde su ordenador MAC... yo SIEMPRE tengo los archivos ocultos y del sistema para que se vean (no me gusta no ver que hay en cada carpeta de mi ordenador) jeje, entonces, de ser asi tambien lo hubiera visto y ya digo, nunca lo llegue a ejecutar por que no habia nada.

Windows 7 original.

Por eso me resulta tan raro, que fuera un virus comun y corriente, yo suelo tener mucho cuidado con estas cosas, se lo que me bajo y si busco cosas raras... antes de hacer nada lo instalo en una maquina virtual, no me gusta jugar con estas cosas, aunque como ya dije, cracks no suelo usar, si a caso serials. No se, podrian seguir poniendo que programas podeis tener "sospechosos" a ver si hay alguna coincidencia pero es que si no la hay... lo que podria ser es la visita de alguna pagina con java que nos haya leido el ordenador porque otra cosa, no se, todo muy raro.

PD: y tambien digan si los antivirus le han detectado algo y si es asi, el que.

[Anel87]

parece que ya se ha calmado el tema.

[DaronWolff]

Hola gente buenas tardes

Tengo el mismo problema y buscando por la RED me encontré con la siguiente liga
http://boomshadow.net/tech/how-to-in...e-an-ftp-hack/

Todos los códigos maliciosos mencionados en la Web los he encontrado en mi sitio Web y todo parece a puntar que el acceso es por un robot via FTP


Se que el tema es antiguo pero espero ayudar con algo a futuras victimas.

Cuando resuelva el problema les comento.

[mayid]

Esta bueno el enlace.
Me surge la pregunta de "que es grep?". A ese comando lo estan usan para detectar archivos infectados. Es algo de linux? Si es así, será para servidores dedicados, porque para el resto es dificil tener acceso por consola, no?

Muy bueno el metodo de buscar archivos alterados en tal fecha. Cosa que en el momento ni se me ocurrió hacer con mi ftp.

[DaronWolff]

Hola
Estaba buscando en google que es greep y me tope en Wikipedia
que grep es una utilidad de la línea de comandos escrita originalmente para ser usada con el sistema operativo Unix y es usada para hacer una búsqueda global para las líneas que encajen con la expresión regular y en otra Web encontré que es y como usarlo solo que esta en ingles
http://www.kb.iu.edu/data/afiy.html

[DaronWolff]

Hola a todos
Aqui de nuevo les comento que depurando los archivos de mi servidor encontré un archivo que me llamó la atención nombrado google3f91aab1bb9ddf66.php

Así que lo abrí y encontré mucho código ofuscado. Estuve investigando acerca de esto y encontré q es un grupo de funciones PHP que se encargan de CONTROLAR PARTE DEL SERVER
Miren la imagen a continuación.



Esta gente podia ejecutar consultas, cambiar permisos, ejecutar comandos PHP (incluso mkdir), VER el contenido del PHP.

Si quieren mas info acerca de
chequen este link

http://www.sakwoya.co.uk/edoced_46esab-whassat/

Por ahora eliminé el archivo y tambien detecté un formulario de archivos estaba sin protección en mi sitio (algun chistoso no validó NADA), posiblemente ahi ingresaron el archivo.

[ghidalgoram]

Hola

Hace mucho yo tuve un problema similar al que comentan. Gracias a Dios lo pudimos resolver, ya que estuvimos como una semana investigando, probando,.... investigando, probando,... hasta que pudimos resolver el problema.

Solo dos consejos les doy, espero poder ayudarles a resolver el problema.

1. Ya lo han mencionando varias veces. Cambiar las contraseña de los FTP's, pero por contraseñas más fuertes, ejemplo: j%E0PSw7

Esto nos ayudó a resolver el rpoblema como al 60%

2. Y lo otro, no se si me van a creer jeje, con un buen antivirus, scanen el sitio, pero lo que tienen en sus computadoras (localmente). Yo había tenido varias partcipaciones sobre este tema. Lo pueden ver en estos dos post.

Este fué cuando yo estaba pasando el problema: http://www.forosdelweb.com/f118/viru...dpress-729958/

Y este otro, fué cuando otra persona tenía un problema similar: http://www.forosdelweb.com/f4/codigo-malicioso-851992/

Solo un último detalle. En esa ocasión lo revisamos con el antivirus AVG versión 7. El antivirus encontró algo y nos indicaba los archivos que tenía ese código malware.

Otro detalle. En ese momento, eramos 3 personas que trabajabamos el sitio web. En el servidor, borrabamos los archivos infectados y localmente también. Scaneabamos la carpeta del sitio (localhost). Pero si uno de los compañeros, no lo hacía y sobrescribía de nuevo el archivo en el servidor, el problema retornaba. Al final, los 3 nos aseguramos de tener nuestras carpetas limpias y el problema no volvió.

Luego seguimos los pasos que Google da, para este tipo de problemas. A la semana, Google quitó el mensaje de que el sitio era peligroso.

Saludos

[DaronWolff]

Muchas gracias por los consejos!
Quiero mencionarles que a pesar de eliminar el formulario de carga de archivos que consideraba como hueco de seguridad aun asi hubo re infección!! no tenia ni la mas mínima idea de donde podrían estar entrando. El FTP estaba des habilitado. Y despues de investigar mucho encontré que el hueco de seguridad se encontraba en una tienda con OSCommerce Ya que manejaba la versión 2.2. en donde se podian cargar archivos al servidor como administrador sin necesidad de haber iniciado sesión.

[DaronWolff]

Por cierto otro detalle!
El nickname del hacker es iskorpitx aquí les dejo una liga con referencias acerca de el.
http://vientos.wordpress.com/2006/05...webs-a-la-vez/
Todo parece indicar que es un genio!

Y los archivos donde estaba el ataque se encontraban alojados en /mitienda_oscommerce/images/put.php
/mitienda_oscommerce/images/in.php //Subia archivos
/mitienda_oscommerce/images/x.txt donde estaba la firma del hacker
/mitienda_oscommerce/images/put.php //Subia archivos
/mitienda_oscommerce/images/pic.php Archivo con el cual adjuntaba un sistema (imagen que adjunte anteriormente)