Foro de Posicionamiento y Buscadores

necochea · Publicado: Lun Mar 15, 2010 5:46 pm **Asunto**: Virus de wordpress

No se si solo atacan al Wordpress, valiendose de alguna vulnerábilidad, pero ya me han atacado un par de veces, todas en blog de wordpress, en diferentes servidores.
El virus produce una especie de redireccionamiento a páginas de un supuesto antivirus, que produce una falsa alerta de virus y cuando el desprevenido visitante clikea, se entierra a sí mismo en un problema, muy dificil de quitar después.
Voy a contarles como es, por si a alguien le pasa sepa que hacer.
El atacante (posiblemente un bot) coloca un script en la carpeta uploads, donde wordpress sube las imágenes por defecto, o en sus subcarpetas, el script se llama algo como: 431735.php (el numero varía) y dentro contiene algo como esto:

ping · Publicado: Lun Mar 15, 2010 6:31 pm **Asunto**:

Veo que todos tus comentarios van sobre el mismo tema.

Vamos abordarlo.

Seguramente tu servidor tiene subido un archivo que infecta los archivos index.php y los más comunes con ese código malicioso.

Aunque quites el código del index, existirá un archivo en una carpeta xxx/yyy/zzz.php que vuelva a poner todo al traste.

Tienes dos soluciones, eliminar todo y volverlo a subir, o buscar el archivo que esta realizando eso. Si tienes el wordpress actualizado no deberías tener problema de que te lo volvieran a poner, pero si ya lo tienes dentro tienes que encontrarlo.

Después, mientras buscas eso, ya que llevara tiempo (si no tienes acceso ssh, si tienes ssh con un grep puedes buscar en todo tu servidor el código que realiza eso. de forma rápida), puedes poner bien el index y archivos principales y ponerle permisos sólo de lectura (alguno de estos virus intentan escribir y no pueden(ai algunos listos que cambian permisos al archivo, pero los menos)

Espero que te sirva de ayuda, puesto que es muy engorroso.
_________________
Chatear
Codigo

ping · Publicado: Lun Mar 15, 2010 6:43 pm **Asunto**:

Yo creo por la experiencia de estos virus, si tienes wordpress actualizado y tomaste medidas con las carpetras de permisos 777 con el código de vitar ejecución que el virus ya no entra, ya lo tienes en casa.

Mira de buscarlo como te puse arriba. A ver si tienes suerte, si podemos ayudar aqui estamos.
_________________
Chatear
Codigo

necochea · Publicado: Mar Mar 16, 2010 4:29 pm **Asunto**:

Ya lo eliminé, parece que no tengo problema ahora, el tema sería que no entre de nuevo, no es en un solo servidor, tengo blogs en dos servidores distintos y se infectaron los dos, los permisos de las carpetas están en 755.
Postee la información acá por si a alguién le pasa algo similar, para ver como evitamos estas cosas.
gracias por la ayuda.
_________________
Ciudad de Necochea
Programas gratis

ping · Publicado: Mar Mar 16, 2010 5:17 pm **Asunto**:

Pues alomejor es algún plugin que tienes con alguna vulnerabilidad, wordpress es muy difundido tu problema tendrían que sufrirlo muchas personas y yo también, puesto que tengo gran cantidad de blogs en wp.

Vigila tus plugins.

Saludos.
_________________
Chatear
Codigo