2

Varias webs Joomla que llevo han sido infectadas con YARA.php_anuna.UNOFFICIAL , he tenidos que hacer backups de todas las webs que estaban en 2 cpanels distintos, ¿alguien sabe algo sobre este virus? me gustaría saber que vulnerabilidad atacan, gracias!

1
  • Buenas tardes! Echale un vistazo a Cómo preguntar. De todas formas, aunque no sea algo relacionado con SO directamente, creo que es bastante interesante para todos conocer la solución ;P
    – GDP
    Commented el 10 oct. 2017 a las 15:51

1 respuesta 1

1

Hay poca información sobre este virus.

Según Symantec:

Sumario

PHP.Anuna es un caballo de Troya de PHP que inyecta código malicioso en archivos PHP almacenados en servidores web comprometidos.

Más info tomada del mismo enlace:

Según ellos, el nivel de riesgo es muy bajo, pero por ello no te duermas en tus laureles.

  • Descubierto en: November 19, 2015
  • Type:Trojan
  • Infection Length: 13,200 bytes
  • Systems Affected:Linux, Mac, Solaris, Windows

Detalles técnicos

Se ha visto que el código malicioso del troyano se ha añadido a los archivos de WordPress en PHP en servidores web comprometidos. Los atacantes pueden haber utilizado otra herramienta o script para agregar este código malicioso muy ofuscado a los archivos afectados.

El troyano se conecta a las siguientes ubicaciones remotas:

  • 33db9538.com
  • 9507c4e8.com
  • e5b57288.com
  • 54dfa1cb.com

A continuación, el troyano recibe código malicioso de estas ubicaciones remotas y lo inyecta en el cuerpo de una página web.

El troyano no realiza ninguna actividad maliciosa si el agente de usuario del archivo PHP tiene una de las siguientes cadenas:

  • google
  • slurp
  • msnbot
  • ia_archiver
  • yandex
  • rambler

El troyano tampoco actúa si el nombre de archivo PHP tiene la siguiente cadena:

  • admin

El troyano envía la siguiente información acerca de los archivos PHP comprometidos a las ubicaciones remotas:

  • User Agent
  • HTTP referrer
  • HTTP host
  • Remote IP address
  • Infected PHP file name

Si un usuario visita una página web que contiene un archivo PHP infectado, puede ejecutar código malicioso en su equipo.


Recomendaciones

Symantec Security Response anima a todos los usuarios y administradores a cumplir con las siguientes "prácticas recomendadas" de seguridad básica:

  • Utilice un cortafuegos para bloquear todas las conexiones entrantes de Internet a servicios que no deberían estar públicamente disponibles.
  • De forma predeterminada, debe denegar todas las conexiones entrantes y sólo permitir servicios que explícitamente desea ofrecer al mundo exterior.
  • Aplicar una directiva de contraseñas. Las contraseñas complejas dificultan la destrucción de los archivos de contraseñas en los equipos comprometidos. Esto ayuda a prevenir o limitar el daño cuando una computadora está comprometida.
  • Asegúrese de que los programas y usuarios de la computadora usen el nivel más bajo de privilegios necesarios para completar una tarea.
  • Cuando se le solicite una contraseña raíz o UAC, asegúrese de que el programa que solicita acceso a nivel administrativo es una aplicación legítima.
  • Desactive la Reproducción automática para evitar el inicio automático de archivos ejecutables en la red y las unidades extraíbles y desconecte las unidades cuando no sea necesario.
  • Si no es necesario el acceso de escritura, active el modo de sólo lectura si la opción está disponible.
  • Desactivar el uso compartido de archivos si no es necesario. Si se requiere compartir archivos, use ACL y protección de contraseña para limitar el acceso.
  • Deshabilitar el acceso anónimo a las carpetas compartidas. Conceda acceso sólo a cuentas de usuario con contraseñas seguras a las carpetas que se deben compartir.
  • Desconecta y anula los servicios innecesarios. De forma predeterminada, muchos sistemas operativos instalan servicios auxiliares que no son críticos. Estos servicios son avenidas de ataque. Si se eliminan, las amenazas tienen menos avenidas de ataque.
  • Si una amenaza explota uno o más servicios de red, deshabilite o bloquee el acceso a dichos servicios hasta que se aplique un parche.
  • Mantenga siempre actualizados sus niveles de parche, especialmente en equipos que alojan servicios públicos y son accesibles a través del cortafuegos, como HTTP, FTP, correo y servicios DNS.
  • Configure su servidor de correo electrónico para bloquear o eliminar el correo electrónico que contiene archivos adjuntos que se utilizan comúnmente para propagar amenazas, como archivos .vbs, .bat, .exe, .pif y .scr.
  • Aísle los ordenadores comprometidos rápidamente para evitar que las amenazas se extiendan aún más.
  • Realizar un análisis forense y restaurar las computadoras utilizando medios de confianza.
  • Entrenar a los empleados a no abrir los archivos adjuntos a menos que los estén esperando. Además, no ejecute el software que se descarga desde Internet a menos que se haya escaneado en busca de virus. Simplemente visitar un sitio web comprometido puede causar infección si ciertas vulnerabilidades del navegador no se corrigen.
  • Si no se requiere Bluetooth para dispositivos móviles, debe estar apagado. Si necesita su uso, asegúrese de que la visibilidad del dispositivo esté configurada como "Oculto" para que no pueda ser escaneada por otros dispositivos Bluetooth. Si debe utilizarse el emparejamiento de dispositivos, asegúrese de que todos los dispositivos estén configurados en "No autorizado", lo que requiere autorización para cada solicitud de conexión.
  • No acepte aplicaciones no firmadas o enviadas desde fuentes desconocidas.

¿Cómo removerlo?

Symantec da instrucciones para removerlo, sólo que las mismas son para usuarios de sus productos. También dicen que hay un sitio en línea donde se pueden subir archivos para revisión. Aquí está todo explicado.

Puedes valerte de php-malware-finder, es un limpiador de malware, proyecto alojado en Github.

2
  • Muchas gracias! más o menos es lo que habia encontrado yo, pero el php-malware-finder no lo sabía, gracias! Commented el 11 oct. 2017 a las 6:32
  • @varokaballa Se me ocurre, que si la infección afecta solo archivos php basta con un controlador de versiones para removerla. Tu código fuente debe estar alojado en un equipo de desarrollo y ser diferente del código de los equipos en producción. Eso ahorraría muchas horas. Si no hay diferencias el problema debe estar en la(s) bbdd a las que se ha debido subir información sin sanear y/o en los archivos subidos y servidos.
    – quevedo
    Commented el 30 jun. 2018 a las 4:59

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.