Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
 

Busque su tema:

VSantivirus  Internet
Proporcionado por FreeFind

Video Soft BBS
Menú Principal
Anti Trojans
Antivirus
Hoaxes
Subscripciones
Otro software
Artículos
Links
Sugerencias
Sobre el BBS
Direcciones
Galería
Chat

       

Perl/Santy.A. Infecta sitios construidos con PhPBB
 
VSantivirus No. 1629 Año 8, miércoles 22 de diciembre de 2004

Perl/Santy.A. Infecta sitios construidos con PhPBB
http://www.vsantivirus.com/santy-a.htm

Nombre: Perl/Santy.A
Nombre NOD32: Perl/Santy.A
Tipo: Gusano de PHP
Alias: Santy, Net-Worm.Perl.Santy.a, Perl.Santy, Perl/Santy.Worm, PERL/Santy.worm, PHP/Santy.worm, WORM_SANTY.A, Perl/Santy-A, Perl.Sanity, PHP/Santy.A.worm
Fecha: 21/dic/04
Plataforma: Unix, Linux, Windows
Tamaño: 4,246 bytes

Este gusano se propaga utilizando una vulnerabilidad en PhPBB, un conocido paquete PhP de código abierto, ampliamente utilizado para la creación de foros y sitios Web.

Son vulnerables todas las versiones PhPBB anteriores a la 2.0.11.

El gusano está escrito en Perl, y tiene un tamaño de 4 a 5 Kb.

Al ejecutarse, hace una búsqueda avanzada con varios parámetros, del siguiente archivo en Google, con lo que obtiene una lista de sitios que ejecutan versiones de PhPBB vulnerables:

"viewtopic.php"

El archivo "viewtopic.php" está relacionado con la vulnerabilidad explotada.

NOTA (22/12/04 - 04:55 -0200) Google comienza a bloquear las solicitudes que realiza el gusano para encontrar sitios vulnerables, lo que puede detener su mecanismo de propagación hacia nuevos servidores.

Luego, el gusano envía una solicitud a todos los sitios encontrados, la cuál contiene el exploit para esta vulnerabilidad.

Cuando el servidor bajo ataque procesa esta solicitud, se ejecuta el exploit y el gusano penetra en el sitio y toma el control. Este proceso es luego repetido en cada servidor infectado.

El gusano busca archivos con las siguientes extensiones en todos los directorios del sitio infectado:

.asp
.htm
.jsp
.php 
.phtm
.shtm

Los archivos encontrados son sobrescritos con el siguiente texto:

This site is defaced!!!


NeverEverNoSanity WebWorm generation X.
 
 
 
 
 

Donde "X" representa un dígito que va aumentando en cada servidor infectado.

El nombre de la página también es "This site is defaced!!!".

Una búsqueda del texto "NeverEverNoSanity WebWorm generation" en un buscador como MSN Search (http://beta.search.msn.com/), muestra una gran cantidad de sitios que han sido modificados al momento de esta descripción (21/12/04, 20:40 -0200), lo que indica la magnitud de la infección.

El gusano no posee ninguna otra carga destructiva, ni otra forma de propagación, y solo afecta a los sitios que se ejecutan con la versión de PhPBB vulnerable.

Los usuarios que visiten estos sitios, no sufren ninguna clase de daño en sus computadoras.

Los servidores de los sitios afectados, pueden sufrir una perdida de rendimiento.

Los administradores de los sitios vulnerables, deben descargar e instalar del siguiente enlace, la versión 2.0.11 de PhPBB, que no es afectada por el exploit que utiliza este gusano:

http://www.phpbb.com/downloads.php

Las páginas sobrescritas deben ser recuperadas desde un respaldo limpio.


Actualizaciones:

22/12/04 - 04:55 -0200 (Descripción "viewtopic.php")
22/12/04 - 04:55 -0200 (Google bloquea búsqueda del gusano)




(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com

 

Copyright 1996-2004 Video Soft BBS