Posted By: ian_curtisBueno, si alguien ha tenido el gusto de topar con dicho "elemento", le estaré agradecido que comparta toda la info al respecto.

Varias veces...te puede meter la linea de código en distintos lugares, generalmente va al index, pero he tenido casos que lo inyectó en el panel de administración que tienen mis script y en otro lado que ahora no recuerdo, poné el archivo .htaccess como oculto, creo que se filtra por ahí... en algún lado escuché eso

Si la cuenta es multidominio, te infectará todas las carpetas. Revisa también en la carpeta donde tengas las imágenes. A mi me dejó el año pasado un index.php modificado también. Si tienes estáticas en html, también.Las bases de datos me aparecieron limpias con ese tipo de inyección. Suerte, y que no sea nada.La Curiosidad es el Principio de toda Filosofía.

Lo mejor para esto es no tener marcado el "recordar contraseña" en los clientes FTP que utilicéis.

Saludos y suerte con la limpieza ;)Haters gonna hate.

Ufff mas veces del que desearia habermelo encontrado. Lo jodido es eliminarlo puesto que suele reproducirse bastante rapido aun limpiando.

hay algun test por alli que analize la seguridad de tu sitio?:pop2:

No hay relacion con esto?
http://www.bbc.co.uk/news/technology-12956919Domains for sale: BtcArg.com FondoBTC.com TravelDupes.com NubePrivada.com

Me comentan desde el Hosting que no ha tocado nada de Bases de Datos.

Y parece que todo está ya limpio.

Una vez nos dimos cuenta que habiamos sido atacados los pasos fueron:

0.- Revisar log's de server para ver que cuentas ftp habían sido usadas para acceder y así saber cual era el pc local infectado.

1.- Eliminar todas las cuentas ftp existentes de acceso a cualquier dominio, server o plan multidominio. En el caso de los servidores o multisitio cambiar las "contraseñas maestras"

2.- Crear contraseñás ftp para dominios concretos (no multi),

3.- Entrar y eliminar el archivo XX.php inyectado - lo que se estaba indexando era del tipo http://www.dominioculquiera/XX.php?blablabla.... -, eliminar los directorios que se habían creado con permisos 777,

4.- Bajar el sitio entero. Buscar lineas maliciosas en todo el sitio, y eliminarlas (buscar es un proceso por lotes, eliminar es manual ya que el código numérico último cambia cada vez)

5.- Subir el sitio y eliminar la cuenta ftp que se había usado para hacerlo.

(Repetir la operación con cada dominio afectado)

Ahora queda ir haciendo seguimiento los próximos días.

Como datos adicionales...se trataba de unos 300 dominos afectados (sitios en que tienes simplemente una redirección 301 también son afectados si los encuentra en un plan multisite) y alrededor de 10.000 archivos, lo peor los joomla, lo más fácil todo lo que es programación própia, los wordpress no sufrieron mucho por cierto.

Edito con más info que puede ser útil: Todo el ataque vino siempre desde la ip: 91.200.240.10Para cuestiones relacionadas con dominios contactar por favor a través de: TLDsConsulting.com

Yo lo conecte porque estoy estudiando eso de las compras de direcciones IP (MSFT compro 60,000 de la Nortel en bancarrota ) y todo esto tiene relacion con los DNSSEC , direcciones seguras para proteger (creo) contra ataques como este ( 1250,000 sitios) ....pero todavia no entiendo bien de que va esto...
Si "lo que dije" no lo piensas mucho si le hallaras sentido Domains for sale: BtcArg.com FondoBTC.com TravelDupes.com NubePrivada.com

si infectaron a Itunes...
que esperanza nos dejan.

es dura la vida del desarrolladorDomains for sale: BtcArg.com FondoBTC.com TravelDupes.com NubePrivada.com

Parece que en los 2-3 días que tuvimos la infección hubo tiempo de que se rastrearan algunas de las url's que creaba la infección, y aunque no aparecen "cacheadas" si están indexadas en google.

Si alguien puede dar consejo en en el tema de la eliminación de este material, lo agradezco, por otra parte expongo lo que hemos hecho/estamos haciendo.

En cualquier de los dominios infectados como dije anteriormene se había subido siempre un archivo numérico, tipo 56.php, y es en base a ese archivo que realizo toda la indexación, así que vemos en el index páginas del tipo: http://www.dominioinfectado.com/56.php=ajhdjd

De entrada y como hemos eliminado esos archivos, si se accede a esas páginas devuelver error 404, y lo que hemos hecho es también poner en los robots.txt respectivos la siguiente linea: Disallow: /78.php?

Alguien que tenga experiencia en el tema, ¿es suficiente?

(en algunos casos son mas de 400 url's por lo que no creo que pueda hacerlo via webmaster tools)Para cuestiones relacionadas con dominios contactar por favor a través de: TLDsConsulting.com

ayer mismo tuve oportunidad de ver un caso de infeccion.

Desde una ip en Grecia se hicieron multiples conexiones ftp a varias cuentas de un servidor, se bajaba un index.algo y al momento lo volvia a subir modificado con el tag indicado repitiendo la operacion con cada fichero index

tambien subia un fichero NN.php, donde NN es un numero de 2 digitos, el codigo de ese fichero era un script ofuscado mediante la tecnica de la descompresion, suelen ser puertas traseras para entrar cuando les plazca y poder ejecutar el codigo que deseen.

Recomendaciones que damos a los clientes en estos casos.

-Les cambiamos la clave de ftp, no se la damos hasta que su sistema este limpio, si se la dieramos antes seria como ponerla en manos del atacante y no serviria de nada.
-Deben pasar un antivirus por sus ordenadores, suelen encontrar la infeccion.
-Se revisan todos los ficheros que hayan sido subido o modificados en los ultimos dias ( fijandonos en mtime ahorramos mucho trabajo), eliminar el codigo malicioso o subir la copia local del archivo suele servir.
-Si algun fichero no se sabe lo que es y tiene una fecha "reciente" es un buen sospechosoEx-cliente de OVH, ahora me comunico con ellos a traves de un abogado

en el caso de este cliente no llegaron a crear esas estructuras de ficheros ni a manipular htaccess quiza simplemente no les dimos tiempo ;)Ex-cliente de OVH, ahora me comunico con ellos a traves de un abogado

Si los archivos infectados indexados en Google son muchos y crees que pueden tener algo de tráfico, puedes hacer una redirección masiva con .htaccess, como dices que todos los archivos tienen nombres con solo números, la expresión regular para redireccionarlos no es muy compleja.

Según yo, con una redirección 301 será más rápida la desindexación, pues en si indica un cambio permanente y en un error 404 los buscadores los conservan más tiempo por la probabilidad de que sean reparados.

Posted By: Marruf

Posted By: fcovicenteSegún yo, con una redirección 301 será más rápida la desindexación, pues en si indica un cambio permanente y en un error 404 los buscadores los conservan más tiempo por la probabilidad de que sean reparados.

+1
Iba a comentar que el problema es quelos buscadoresGoogle suelenmantener bastante tiempo las páginas que eliminas del servidor sin más.
Igual también es práctico cambiar esa página por un texto escueto tipo "esta página ya no existe" con la intención de que cambie lo ya indexado, como alternativa a buscar info sobre como se comportan los buscadores con los errores.

Me tira un poco para atrás hacer la 301 por lo siguiente:

- Por un lado a nivel real de comportamiento de las páginas todo has seguido igual, antes del ataque, durante el ataque (me refiero cuando google tuvo páginas nuestras cacheadas con la línea de código) y después (en que ya ha vuelto a cachear sin la línea de código)

- Aunque las páginas basura que generó están indexadas, no es posible aún ver la cache de google. Para que veais a que me refiero: http://www.google.es/#hl=es&source=hp&biw=1280&bih=843&q=site:www.vuelosbaratosultimahora.es&aq=f&aqi=&aql=&oq=&fp=

- Tal vez podría verse como un movimiento sospechoso el generar un día 400 páginas y al otro día redireccionarlo todo a Home ¿que opinais?Para cuestiones relacionadas con dominios contactar por favor a través de: TLDsConsulting.com

Posted By: fcovicenteSegún yo, con una redirección 301 será más rápida la desindexación, pues en si indica un cambio permanente y en un error 404 los buscadores los conservan más tiempo por la probabilidad de que sean reparados

Vamos a probar en un de los dominios afectados (400 pág basura en el índice) a ver que tal con un Redirect 301

(En el dominio que le pondremos el 301) Como daños "colaterales" lo que he podido ver es que si ha aparecido el dominio en búsquedas que están relacionados con los titulos de esas páginas basura (se han multiplicado las impresiones de dominio para búsquedas x10), y, seguramente lo que es lo peor, es que webmaster tools, identifica en algunos casos, "las palabras basura" que se repiten en titulos del contenido basura generado como palabras clave más habituales que ha encontrado Google al rastrear su sitio

Ya comentaré el resultado que de seguro bien puede servir a alguien que se vea - ojala que no - en un lio parecido alguna vez.Para cuestiones relacionadas con dominios contactar por favor a través de: TLDsConsulting.com

Posted By: fcovicente¿No será que esas palabras habituales ya estaban desde antes de la redirección?

Seguro que no, coincide también eso con la aparición en "errores de acceso" de muchas de esas páginas como no encontradas, a la vez que indica desde donde era linkadas (unas con otras), y lo mismo que indica que ha aparecido el dominio en resultados de búsquedas de esas palabras. Parece muy claro que todo viene de lo mismo, ahora lo que hay que ver, es si es más eficiente la redirección 301 o el bloqueo con robots.txt + error 404 - como he dejado en otros dominios -(incluso habría una tercera opción que sería montar un archivo con un "no index" para que lo viera el boot cuando llega a una de esas páginas basura)Para cuestiones relacionadas con dominios contactar por favor a través de: TLDsConsulting.com

Pasadas casi 2 semanas, de repente aparece en resultados de google en algunos casos - las webs que fueron cacheadas con el código inyectado - el mensaje: "Este sitio puede haber sido modificado por terceros"

Aunque no es tan grave - no pone ninguna página entre el buscador y la web - como el de "Este sitio puede dañar tu equipo", lo cierto es que tira bastante para atras.

Por lo pronto estamos haciendo el procedimiento que dice aquí: http://www.google.com/support/webmasters/bin/answer.py?answer=163634

Por otro lado, estamos comprobando también con esta herramienta - ejemplo: http://www.google.com/safebrowsing/diagnostic?site=adslayuda.com/ - que efectivamente fue "esos días de infección" cuando google hizo la detección, lo malo es que lo muestre ahora.

Por cierto, la herramienta también mira por server/plan, por ejemplo: http://www.google.com/safebrowsing/diagnostic?site=AS:44497 (REDCOÑA, 35 sitios de 1841 infectados)

Seguiré informando...Para cuestiones relacionadas con dominios contactar por favor a través de: TLDsConsulting.com

Gracias Peter, es algo tan desagradable que te pase esto, que solo espero que si alguien se encuentra con lo mismo tenga una buena guía donde saber de que va el tema, como arreglar, y que es lo que puede esperar que suceda.

Siguiendo con el reporte comentar que:

- Sorprendentemente lo de "Este sitio puede haber sido modificado por terceros" no ha afectado en nada al tráfico en los 11 sitios que ya tenemos marcados con el mensaje (hoy se sumaron 4 más)

- Webmaster tools muestra el mensaje/advertencia pasadas unas horas respecto cuando el buscador ya pone el mensaje en resultados de búsqueda

- Recomendable a todo el mundo tener las notificaciones de Webmaster Tools reenviadas al mail

- Los contenidos que identificó como malware indica (WMT) que estaban en página del tipo http://www.dominioquesea.com/72.php?q=fosgate-amps, aún así, el mensaje lo pone en los resultados donde aparece la Home y no en internas o en las própias "72.php?" (aunque hubo inyección en los index.php/.html no comenta nada de eso, y por otro lado, es via notificación todo, en "diagnosticos dice que todo está ok")

- A nivel de desindexar la basura, decir que está teniendo el mismo efecto dejar con 404 y bloqueado a boots con robots.txt, que hacer un 301 de todo lo que venga de ahí a Home (en el ejemplo anterior sería de todo lo que fuera 72.php?)...poco a poco se va desindexando todo y quedando solamente el conenido "bueno"

Estamos ahora pendientes de ver cuanto tardan en sacar el famoso mensaje después que ya hemos reportado los sitios 1 a 1 comentando que fueron limpiados y eliminado el archivo que era la base de la creación de las páginas malware basura "NN.php" y al mismo tiempo estamos expectantes ya que pensamos que aún hay sitios que en cualuqier momento pueden aparecer marcados. (retraso aprox. de google queda fijado en 2 semanas desde que encontró el malwre hasta que marcó)Para cuestiones relacionadas con dominios contactar por favor a través de: TLDsConsulting.com

Lo de bloquear por robots.txt si, pero ya era tarde, la prueba es que incluso estando ya bloqueado el acceso a "la basura" siguieron apareciendo páginas en el index (entiendo que el robot había pasado pero aún no las mostraba en el index, de todas formas, nunca permitió ver la "caché" de eso), con lo qual me queda la duda de que hubiera pasado si le hubieramos dejado volver a entrar cuando devolvían ya error 404 o estaba el 301 (el 301 solo lo hicimos en 1 dominio) tal vez hubiera visto que la cosa estaba ya solucionada, de todas formas y en el caso del 301 en particular lo que altera las estadísticas es una barbaridad (multiplico el tráfico x10 todo desde keywords basura), también está el problema de que las muestra en wmt como palabras frecuentes del sitio.- (lo que hace bajar el % de importáncia que le da a la keys a las que si se quiere que tome como eferentes del sitio)

Con respecto a eliminar url, en algunos casos han llegado a ser 4.000 con lo que multiplicado por unos 200 dominios que son a los que afectó era una tarea imposible.

También hay que remarcar que el dominio más afectado desde el punto de vista de posicionamiento fue el dominio donde se hizo el 301 (estaba en top 10 para una búsqueda buena que daba conversiónes y de momento siguie en el limbo), supongo que indexar 4000 páginas en 3 días y luego hacer un 301 a Home desde todas puede verse como una operación fraudulenta...la gente del black hat lo debe usar bastante porque a nivel tráfico sin duda que funciona (otra cosa es lo que se pueda rentabilizar de ello, a nosotros particularmente ese tráfico nos ha supuesto una distorisón en las estadísitcas y nada más, aunque alguien que se dedique al CPM sin duda que le puede sacar partido a una táctica así...de hecho es algo que de forma más o menos legal ya venían haciendo algunos - lo de tener muchismio indexado "partir de terceras fuentes" aunque fuera 0 útil para el usuario - y creo que ha sido precisamente una de la cosas que ha cortado el cambio de algoritmo conocido como "google panda")Para cuestiones relacionadas con dominios contactar por favor a través de: TLDsConsulting.com

Se me escapo eso fcovicente, es evidente que hubiera sido lo correcto. Aún así, son demasiadas variables para poder decir con seguridad cual de ella provoca qué.

De todo ello, pienso que lo que más puede afectar en términos de posicionamiento es que google asuma como palabras frecuentes del sitio (así lo indica wmt) algunas de las "basura "- todas ellas leídas en "metas titles" - lo que hace bajar el % de importáncia que le da a la keys que si son referentes del sitio, y de ahí que al no darle el mismo peso te veas desplazado para esas búsquedas. El mismo argumento para "búsquedas en las que ha aparecido es sitio", y ídem con lo de % de clics sobre búsquedas.Para cuestiones relacionadas con dominios contactar por favor a través de: TLDsConsulting.com

Hola,

Gracias Ian por compartir :cata2:
muy útil la información,
Y desafortudamente ya me cuento como otra víctima de estos #§&*%@$!

Aquí encontré una descripción muy buena de como funciona esto:
http://blog.unmaskparasites.com/2011/05/05/thousands-of-hacked-sites-seriously-poison-google-image-search-results/#webmasters

Y para escanear el sitio me sirvió en primera instancia:
http://www.avg.com.au/resources/web-page-scanner/

Bueno ahora a limpiar, como si no tuviera mucho que hacer ...