Posible hackeo en mi sitio ¿Cómo puedo solucionarlo?

LightningLion · 20 Nov 2012

El caso es que he notado un bajón drástico de visitas en la web. He buscado en google con "site:mundoairsofter.com" y em sale esto:

Mundo Airsofter | Reviews y noticias de airsoft.
mundoairsofter.com/ - Translate this page
This site may be compromised.
Unsurprisingly a triad of tobacco use especially marijuana methadone nicotine Payday Loan Payday Loan and seen a davies k christ g. In an illustration of all ...

Nunca he recibido ninguna alerta en mi webmaster tools, ni me da problemas entrar a mi blog. Ustedes ven algo? Agradecería cualquier tipo de ayuda dado que no se mucho de Wordpress.

cerebellum · 20 Nov 2012

Tienes metido esto en tu sitio. Por donde aparece (antes del body) parece un exploit.

Por cierto es curioso que google indexe texto que no está en el body.

HTML:

<!--start-add-div-content-->  <p class="nemonn">Unsurprisingly a triad of tobacco use especially marijuana methadone
  nicotine Payday Loan <a href="http://asaferide.org/" title="Payday Loan">Payday
  Loan</a> and seen a davies k christ g. In an illustration of all medications oral
  Viagra <a href="http://www.allcommunitymedia.org/" title="Viagra">Viagra</a> medication
  is this happen? When service connection may arise such a substantive appeal Guaranteed
  Approval Payday Loans <a href="http://arielkatz.org/" title=
  "Guaranteed Approval Payday Loans">Guaranteed Approval Payday Loans</a> is to an
  erection that erectile function. Vascular surgeries neurologic disorders erectile
  dysfunctionmen Buy Cheap Cialis <a href="http://ballerblogger.com/" title=
  "Buy Cheap Cialis">Buy Cheap Cialis</a> who treats erectile mechanism. Sleep disorders
  such a charming impact on Viagra <a href="http://www.2011globalhealth.org/" title=
  "Viagra">Viagra</a> ed due to each claim. Nyu has gained popularity of cigarette
  smoking Fast Payday Loans <a href="http://internationalstudents.org.au/" title=
  "Fast Payday Loans">Fast Payday Loans</a> says the service in st. Reasons and tropical
  medicine acupuncture chiropractic massage and Levitra <a href=
  "http://australiangalleries.com.au/" title="Levitra">Levitra</a> has been reached in
  erectile function. While a disability rating in addition to Bad Credit History Payday
  Loans <a href="http://7thmonarch.com/" title="Bad Credit History Payday Loans">Bad
  Credit History Payday Loans</a> other signs of erections. Vascular surgeries neurologic
  diseases such as to Cialis Online <a href="http://www.givingsight.org/" title=
  "Cialis Online">Cialis Online</a> collaborate with arterial insufficiency. Cam includes
  naturopathic medicine acupuncture chiropractic massage and those surveyed Buy Viagra
  Online Without Prescription <a href="http://gangoffour.co.uk/" title=
  "Buy Viagra Online Without Prescription">Buy Viagra Online Without Prescription</a>
  were caused by a hormonal or spermatoceles. Tobacco use of a psychological erectile
  dysfunctionmen Viagra From Canada <a href="http://www.ascls-cne.org/" title=
  "Viagra From Canada">Viagra From Canada</a> who treats erectile mechanism. How are is
  entitled to buy viagra which Viagra Online <a href="http://coco.co.uk/" title=
  "Viagra Online">Viagra Online</a> are they are never quite common. Also include those
  men could come a How Effective Generic Cialis Journal <a href=
  "http://aslionline.org/wp/" title="How Effective Generic Cialis Journal">How Effective
  Generic Cialis Journal</a> marital history of use. Ed is there can also plays Viagra
  Online <a href="http://www.881theburg.com/" title="Viagra Online">Viagra Online</a> a
  loss of penile. Up to address this type of perilous Visual Effects Of Viagra <a href=
  "http://alleganlibrary.org/" title="Visual Effects Of Viagra">Visual Effects Of
  Viagra</a> symptoms its introduction in nature.</p><!--end-add-div-content-->

LightningLion · 20 Nov 2012

Venía a poner eso, que me lo he enontrado en el código. ¿Alguna idea para proteger el sitio?
El código estaba en el header.

quimbox · 20 Nov 2012

LightningLion dijo:
Venía a poner eso, que me lo he enontrado en el código. ¿Alguna idea para proteger el sitio?
El código estaba en el header.

Estas usando algun plugin nulo(nulled) en tu sitio? revisa los plugins activos que tienes ve desactivando plugins. y puedes usar algunos de estos tres plugins en tu web. Son los mas recomendados por aqui en el foro.

1-Login LockDown
2-AntiVirus
3-Wp-Security scan

cerebellum · 20 Nov 2012

LightningLion dijo:
Venía a poner eso, que me lo he enontrado en el código. ¿Alguna idea para proteger el sitio?
El código estaba en el header.

Mira a ver si con wordfence puedes encontrar algo

Wordfence - WordPress Security Plugin

LightningLion · 20 Nov 2012

Abreu Yolfrank dijo:
Estas usando algun plugin nulo(nulled) en tu sitio? revisa los plugins activos que tienes ve desactivando plugins. y puedes usar algunos de estos tres plugins en tu web. Son los mas recomendados por aqui en el foro.

1-Login LockDown
2-AntiVirus
3-Wp-Security scan

cerebellum dijo:
Mira a ver si con wordfence puedes encontrar algo

Wordfence - WordPress Security Plugin

Gracias a ambos.
No se que es eso de plugins nulled. El login Lockdown lo tengo. El Antivirus lo tengo. Me marca esto:
Permalink back door all clear. y en rojo:
... on_arras_options', 'qtrans_useCurrentLanguageIfNotFoundUseDefaultLanguage', 0)
... Array('9091968376','8887918192818786347374918784939277359287883421333333338896','877886888787','949 ...
El wordfence me dice esto:
WordFence API error: Your blog is using an unsupported WordPress version. The version we received was: 3.5-alpha

propa · 20 Nov 2012

No se que es eso de plugins nulled.

son plugins de pagos que los bajas de paginas de forma gratuita y algunas veces vienen infectados

LightningLion · 20 Nov 2012

propa dijo:
son plugins de pagos que los bajas de paginas de forma gratuita y algunas veces vienen infectados

Entonces no, todo lo saco del buscador de plugins propio del blog.

ramonjosegn · 20 Nov 2012

Reescribe los archivos de Wordpress, no se me ocurre otra cosa, pero manualmente, porque actualizando no solucionarás nada (Wordpress tiene ese pequeño problemita)

quimbox · 20 Nov 2012

LightningLion dijo:
Gracias a ambos.
No se que es eso de plugins nulled. El login Lockdown lo tengo. El Antivirus lo tengo. Me marca esto:
Permalink back door all clear. y en rojo:
... on_arras_options', 'qtrans_useCurrentLanguageIfNotFoundUseDefaultLang uage', 0)
... Array('9091968376','888791819281878634737491878493 9277359287883421333333338896','877886888787','949 ...
El wordfence me dice esto:
WordFence API error: Your blog is using an unsupported WordPress version. The version we received was: 3.5-alpha

... on_arras_options', 'qtrans_useCurrentLanguageIfNotFoundUseDefaultLanguage', 0)

Esto es un codigo malicioso. Un malware Enlace eliminado

Array('9091968376','8887918192818786347374918784939277359287883421333333338896','877886888787','949 ...

WordFence API error: Your blog is using an unsupported WordPress version. The version we received was: 3.5-alpha

Deberia de usar una versión de wordpress más estable: WordPress | Español

trash57 · 20 Nov 2012

precisamente me sucedio lo mismo con dos de mis blogs hoy por la mañana detecte ese codigo en el header de dos de mis sitios y he andado buscando la puerta de entrada sin exito aun, asi que agradeceria si alguien tiene noticia de eso, yo como quiera ya envie correo a soporte de mi hosting por si ellos tienen alguna noticia de esto

saludos

ramonjosegn · 20 Nov 2012

Yo por ahora os recomiendo que pongáis algún cortafuegos, porque pueden volver a dañaros los sitios web, el hosting debería poder restaurar una copia del sitio web antes del ataque (aunque algunos no lo hacen por defecto, a no ser que estés pagando)

Cicklow · 20 Nov 2012

el theme arras hace rato que da problemas de virus.... ayer estaba buscando un file dentro de los themes que tengo en mi PC y salto el antivirus con el arras... asique tene cuidado con ese theme. El theme arras tiene un cache, elimina todo lo que hay dentro de esa carpeta, si podes cambiar de theme mejor, sino descarga todo a tu pc, pasale el antivirus y subilo nuevamente!

Posible hackeo en mi sitio ¿Cómo puedo solucionarlo?

LightningLion

cerebellum

LightningLion

quimbox

cerebellum

LightningLion

propa

LightningLion

ramonjosegn

quimbox

trash57

ramonjosegn

Cicklow

Temas similares