Durante los últimos 5 días hemos sido testigos de la proliferación de un software malicioso (troyano), el cual aun no esta plenamente identificado y que amenaza a computadores con sistema operativo Windows. Este troyano ha estado robando passwords desde las aplicaciones de correo para luego ponerlas a disposición de una red de envío de mail con el propósito de despachar grandes volúmenes de correo electrónico no deseado.

Como resultado de la acción de este troyano no identificado, muchas cuentas de correo de clientes han permanecido enviando mail sin control. Para poder detener la expansión de este problema, tomamos la determinación de suspender cualquier cuenta de hosting que presentara este problema hasta poder entrar en contacto con el administrador.

Esta amenaza puede ser neutralizada utilizando algún antivirus comercial debidamente actualizado al día. Como se trata de una amenaza nueva, esta siendo detectada gradualmente en la medida que el incidente se propaga. En los últimos días mcafee presento un registro de troyano que podría tratarse de la misma amenaza que estamos experimentando y además publico una lista de los nombres bajo los cuales es conocido en otros productos antivirus relevantes en el mercado:

compañía y nombre bajo el cual se conoce el troyano:

ahnlab Trojan/Win32.Zbot
avast Win32:Zbot-NRC
AVG (GriSoft)PSW.Generic9.APFM (Trojan horse)
aviraTR/Hijacker.Gen
KasperskyTrojan-Spy.Win32.Zbot.diej
BitDefenderGen:Variant.Kazy.1779
clamavTrojan.Spy.Zbot-142
Dr.Web BackDoor.Qbot.81
F-ProtW32/Zbot.BR.gen!Eldorado
FortiNetW32/Zbot.DS!tr.spy
MicrosoftPWS:Win32/Zbot.gen!Y
Symantec Trojan.Zbot!gen19
Eset Win32/Spy.Zbot.YWnormanW32/Zbot.VAL
SophosTroj/PWS-BSF
Trend Micro TSPY_ZBOT.SMIGvba32SScope.Trojan.FakeAV.01110
V-Buster TrojanSpy.Zbot!NnHgntcZaqY (trojan)
Vet (Computer Associates)Win32/Zbot.CXZ

El sitio de MCAFEE muestra detalles de este troyano:

http://www.mcafee.com/threat-intelligence/malware/default.aspx?id=997964

Junto con saludarlo nos estamos comunicando con usted para informar una actualización de hardware del servidor donde está alojada su cuenta, esta actualización corresponde a los planes de mejoras para este 2012. El procedimiento consta de los siguientes pasos:

1. Realizaremos una copia masiva de información a partir de las 21:00 horas del día Jueves 12 de Abril de 2012. Este procedimiento tiene un tiempo de demora de 4 horas.

2. Una vez finalizado el proceso de copia masiva de datos se bajara el servicio durante 15 minutos, esto es para poder hacer el cambio y puesta en producción el servidor nuevo. El tiempo estimado de esta baja será a partir de las 01:00 AM y el tiempo de normalidad del servicio se estima para las 1:15 AM.

El nuevo servidor es un SuperMicro (es una de las marcas más usadas de servidores en el mundo) por lo que con esto pretendemos mejorar el servicio de su cuenta y así entregar más potencia a nivel de servidor.

Gracias por su comprensión

Saludos Cordiales
BenzaHosting

De acuerdo a lo informado por el diario peruano El Comercio se trata del troyano “Wetoxy”, el que captura las claves secretas, contraseñas, números de tarjetas de crédito y otros datos del usuario por medio de pulsaciones generadas cuando éste los teclea.

Posteriormente el virus, diseñado para la plataforma Windows, guarda las informaciones privadas en un archivo y las envía a un servidor remoto que es controlado periódicamente por él o los ciberdelincuentes.

Por último, desde el organismo español aclararon que para eliminar el software malicioso es recomendable usar un antivirus actualizado que lo detecte.

A todos nuestros clientes que tengan problemas de acceso a cPanel por error de contraseña pueden actualizar sus contraseñas de la siguiente forma: http://blog.benzahosting.cl/servicios/como-cambiar-la-contrasena-de-cpanel
Si aun continúan los inconvenientes solo escribanos a soporte@benzahosting.cl

GTD es uno de los proveedores de internet, data center (donde se almacenan servidores de sitios), Larga Distancia, TV empresa y telefonía que funciona en Chile.

La caída de los servicios se produjo cerca de las 12:20 y aún no se conoce el motivo del inconveniente. Es muy probable que los cibernautas tengan problemas para entrar a algunos sitios y tengan red de teléfono caída, lo que también afecta a sistema Redbanc de algunos locales comerciales.

Nosotros como benzaHosting estamos a la espera de la habilitacion para poder rstaurar el servicio.

Noticias en otros medios de comunicacion:

http://www.publimetro.cl/nota/teknik/caida-de-gtd-provoco-problemas-en-internet-y-telefonia/xIQlcD!kU06VyWRdth3s/

1. Software y Scripts al día.

Si por alguna razón está ejecutando una versión antigua de phpbb, o tal vez un viejo vBulletin o incluso una simple secuencia de comandos, asegúrese de actualizar a la versión más reciente. Ya que puede hackear su sitio web fácilmente utilizando métodos como RFI o inyecciones SQL.

2. Plug ins, add ons y los módulos.

Ejecución de un sitio CMS? como Joomla, Mambo, Datalife o tal vez un foro phpBB, SMF, vBulletin asegurese de cargar o instalar módulos y plug ins. Los desarrolladores de los scripts de tener buen cuidado de sus códigos para mantenerla limpia de hazañas y errores. Los desarrolladores de plug-ins la mayoría de las veces no son la causa del 70% de la piratería de este tipo de software.

3. Su responsabilidad.

La mayoría de Webmasters deben saber que si logran hackear su alojamiento web, debido a la responsabilidad de personal que tengan a su cargo lo cual o no están haciendo bien su trabajo. Si usted ha sido víctima de hacker es tu responsabilidad. Si instala un script con errores, el propietario de un script no puede hacer nada al respecto. Si alguien aprovecha su error y obtiene acceso a su sitio es su responsabilidad, no culpe a su empresa de alojamiento web, por la responsabilidad de usted mismo. Después de haber sido hackeado debe intentar hacer un lookfor de sus scripts en sitios como milw0rm.com para ver si sus scripts no tienen errores.

4. Proteja su Contraseña

Si ejecuta un sitio muy popular entonces tenga cuidado!. En el caso de una cuenta FTP, cPanel, o cuenta de alojamiento. Algunos de ellos pueden incluso tratar de enviarle Keyloggers, troyanos y programas de monitoreo para obtener acceso a sus sitios web. Tenga cuidado al aceptar archivos, utilizando programas de mensajería instantánea como Yahoo, MSN o AIM. Utilice una contraseña fácil de recordar por usted y díficil para extraños.

5. Mantenga su cuenta de alojamiento y PC limpios

La mayoría de las personas tienen un montón de archivos que ni siquiera dan el uso debido de sus cuentas de alojamiento y las computadoras. En sus cuentas de alojamiento esto puede causar mala indexación en los motores de búsqueda como Google, Yahoo, MSN, y Ask. Ellos pueden empezar a indexar sitios antiguos olvidados en las carpetas, como los archivos personales como fotos y mucho más, siempre es bueno mantener su cuenta de alojamiento de su sitio web con contenido actualizado.

6. Antes de la cantidad de calidad.

Utilice software de calidad para su sitio. ¿Por qué usar phpBB (codificado en gran medida), usted puede comprar una licencia de vBulletin. Si ya está haciendo una fuente de ingresos de su sitio mediante la publicidad de programas como AdSense de Google, CPX Interactive y más, entonces creo que usted tiene que invertir para ganar. Cuanto más invierta, más posibilidades tienes de ganar, puede mantener su sitio libre de los piratas informáticos.

7. Backups, Copias de seguridad.

Los errores más comunes de la gente es solo subir y subir!. Haga una copia de seguridad de su sitio. Mantenga los archivos en su PC, en su USB o Disco Duro Externo, le puede salvar la vida. Nunca avise a los usuarios el contenido de su sitio, mantengalo seguro.

8. No ponga todos sus huevos en la misma cesta.

Si usted tiene algún tiempo en la web de negocios y tienen más de 2 sitios .. luego protegerlos! ¿Sabía usted que si uno de sus sitios web se hackeado, todos los otros sitios web en la misma cuenta de alojamiento puede obtener también hackeado? Un Defacers puede ingrese a su FTP y tener acceso a todos sus sitios. Usted puede prevenir esto por la compra de una cuenta de reseller o comprar más de una cuenta de hosting.
9. El conocimiento es poder!

Aprender a leer y buscar. Hoy en día con el uso de grandes motores de búsqueda puede acceder a una gran cantidad de información que puede mantenerse seguro, incluso puede saber que un hacker o Defacer. La mayoría de los hackers han aprendido a utilizar los motores de búsqueda y foros de la comunidad. Así usted previene y le hace pensar como ellos.

10. Compruebe CHMOD, Permisos.

La mayoría del tiempo, mientras que la instalación de nuevas secuencias de comandos que le solicitará que CHMOD a 777, para algunos archivos, que algunas veces puede ser mortal. Cuando un Defacer entra en su sitio de archivos es más fácil modificar / editar / borrar los archivos con 777, si la carpeta public_html tiene, básicamente, los permisos puesto por usted y luego es hackeado. Si no es así entonces solo puede modificar los permisos. Es bueno tener en cuenta cuando termine una instalación devolver todos los antiguos permisos.

Bonus: para los VPS / Reseller / Dedicado Clientes es importante tener en cuenta que la raíz de la contraseña de MySQL es también un factor importante, cuando se habla de piratería informática, no siempre es bueno dejar por defecto, esto puede hacer que usted pierda todas las tablas y filas.

1. debe de ingresar al área de cliente de nuestro sitio web en www.benzahosting.cl

2. luego deberá ingresar su correo electrónico y contraseña, si no tiene su contraseña para ingresar al área de cliente la puede solicitar en el siguiente link: http://www.benzahosting.cl/clientes/pwreset.php

3. una vez logeado en el área de cliente ingrese a la opción mis Servicios:

4. en dicha opción usted encontrara la lista completa de todos los servicios contratados por usted, solo debe de seleccionar el dominio que desea cambiar la clave de acceso cPanel y presionar en ver detalle:

5. en dicho panel usted puede obtener la contraseña actual como también poder modificar los datos de acceso a su cPanel:

}

6. para modificar la contraseña solo complete los datos como indica la imagen:

Requisitos previos

1. Un servidor dedicado o virtual corriendo CentOS o Red Hat EL 5.x. CentOS 6.x no es compatible actualmente.
2. Al menos 256 MB de RAM (suficiente para hacer funcionar Yum).
3. Al menos 2 GB de espacio libre en disco para los servicios de Kloxo y afines.
4. Si particiona sus discos de forma manual, asegúrese de que tiene un directorio /tmp. Kloxo utiliza /tmp para crear y almacenar copias de seguridad temporal y el proceso fallará si no hay espacio suficiente.

Antes de comenzar …

Tiene que deshabilitar SELinux editando el fichero /etc/sysconfig/selinux y cambiando la línea de selinux = disabled. Esto evitará que SELinux de ser habilitada en el servidor de arranque siguiente.

A continuación, debe ejecutar el siguiente comando como root para desactivar SELinux:

 # Su - root
 # Setenforce 0

Si no se desactiva correctamente SELinux hará que su instalación Kloxo inútil y una einstalacion de sistema operativo puede ser necesaria para volver a instalarlo correctamente.

Instalación Kloxo

La instalación consiste en descargar Kloxo kloxo-installer.sh de download.lxcenter.org y ejecutar como root. El guión le presentará con algunas preguntas y, a veces pedir una contraseña (introduzca su contraseña de root).

Si no dispone de un servidor MySQL ya instalado, debe ejecutar:

# su - root
# yum install -y wget
# wget http://download.lxcenter.org/download/kloxo/production/kloxo-installer.sh

Para instalar el Maestro (Default Server Single):

# sh ./kloxo-installer.sh --type=master

Para instalar como esclavo:

# sh ./kloxo-installer.sh --type=slave

Si ya tienes MySQL instalado y configurado una contraseña de root, debe ejecutar:

# su - root # yum install -y wget
# wget http://download.lxcenter.org/download/kloxo/production/kloxo-installer.sh
# sh ./kloxo-installer.sh --type=<master/slave> --db-root password=PASSWORD

Una vez kloxo está instalado, se puede conectar a http://YOUR_SERVER_IP:7778 y se le presentará una pantalla de inicio de sesión. Inicio de sesión como admin con la contraseña admin y una vez que se encuentre, Kloxo le pedirá que cambie la contraseña por defecto a una mas segura.

En otros casos, por lo general, la voz de alerta llega por parte de Google, que agrega el dominio a la lista de sitios “sospechosos” de alojar malware, y evita el acceso al sitio colocando una pantalla de alerta.

Es una medida para evitar que la infección que tiene el sitio se expanda a las PCs o los navegadores de quienes, de otra manera, visitarían la web sin saber que automáticamente estarían descargando un virus a su equipo.

¿Cómo entró el virus?

A diferencia de lo que indicaría el sentido común (“si mi sitio tiene un virus, está infectado el servidor web de mi proveedor de hosting”), el problema casi siempre está/estuvo en la PC desde donde se actualiza el sitio web.

Quienes se dedican a subir este tipo de virus, con la intención de expandirlos a través de internet, apuntan a robar una información fundamental: sus claves FTP.

Con esas claves, suben archivos infectados o sus páginas modificadas, sin que Ud. se dé cuenta. Es más, si el ataque es lo suficientemente elaborado, hasta conseguirán al instante su nueva clave de FTP en el momento que la modifique.

Otra manera muy común de agregar un virus o código malicioso a un sitio es explotando la vulnerabilidad de una aplicación desactualizada (foro, blog, galería de fotos, carrito de compras, etc.). Por eso es fundamental tener siempre la aplicación actualizada y aplicar los parches de seguridad recomendados por sus desarrolladores.

¿Cómo encuentro el virus?

La forma más usada para esconder un virus en un sitio web se conoce como “iframe attack”.

El “iframe” se esconde en el código de sus páginas, y lo que hace es llamar a otra página de forma invisible (es decir, ni Ud. ni quien visite su web lo notan), buscando posicionar mejor esa página escondida o bien infectar con virus o código malicioso a los visitantes.

Lo más común es que lo agreguen al código de su página index (index.html, index.php, etc.). También ocurre, con virus como Gumblar cn, que suban un archivo y lo ubiquen en una carpeta donde sea difícil detectarlo (Gumblar cn, por ejemplo, sube un archivo llamado “image.php” dentro de la carpeta “images”).

¿Cómo elimino el virus?

Paso 1: Ingresar por FTP y descargar todo el contenido del sitio a una carpeta dentro de su equipo. Inmediatamente después, cambiar la contraseña del FTP desde su Panel de Control cPanel

Paso 2: Correr un buen antivirus y antispyware en la carpeta que contiene la web, y en el resto del equipo (incluyendo discos extraíbles).

Paso 3: Una vez que el antivirus haya eliminado archivos sospechosos, comienza el trabajo manual dentro de la carpeta donde está su web.

Con un programa que permita buscar dentro de los archivos, habrá que identificar todos aquellos que incluyan un “iframe” con estilo escondido (“hidden”), que no correspondan a su página, y eliminar esa porción de código.

Ejemplo:

<iframe src=”http://alguna_página.cat”
style=”visibility: hidden; display: none”>
</iframe>

Siguiendo el mismo procedimiento, buscar también si en alguna página existe un “document.write”, seguido de una línea encodeada.

Ejemplo:

<script language=”javascript”>
document.write( unescape( ‘%70%61%67%65%20%6F%6E%65′ ) );
</script>

De existir, borrar esa porción de código.

Asegúrese que todos los src= y http:// hagan referencia a archivos de su sitio web o a sitios externos que Ud. conoce y son confiables.

Luego, sólo resta la revisión manual: buscar entre todos los archivos la existencia de cualquier .php, .js, .htm, .html, asp, .aspx, .inc, .cfm, etc., que no pertenezca a su sitio web.

Paso 4: Una vez hecho esto, ya seguro de que su sitio está limpio, conéctese por FTP en forma segura. Elimine todo el contenido de la carpeta public_html, y suba los archivos que acaba de limpiar.

Paso 5: Ahora, elimine el caché de su navegador, abra la página index de su web y todas aquellas que detectó como infectadas en la primera revisión.

Del menú del browser elija la opción para ver el código fuente de cada página. Si no aparece más el “iframe” que apunta a una web desconocida o el “document.write”, entonces significa que el sitio está limpio.

Paso 6: Si Google marcó su web como sospechosa, será necesario que solicite una revisión para levantar la página de alerta. Deberá completar el formulario en Google Webmaster Central o StopBadware.

Por lo general, si Google no encuentra infecciones, en un día ya saca el sitio de su listado de webs sospechosas de alojar malware, aunque en los dos sitios se aclara que puede tomar unos días más.