advanced xp defender me tiene loco

altas de chile · 17-jun-2008, 23:14

Hola amigos, molesto nuevamente su atencion. Tengo un servidor propio alojado en Chile y desde hace 3 dias algunas de las paginas al ser llamadas en el navegador aparece la tipica barrita superior que indica que debe ser instalado un control active x y otra ventana amenazando infeccion y que debo bajar la proteccion activexpdefender. Al ingresar al sitio por ftp me encuentro con el archivo index ha sido alterado y se le ha agregado este script:

le tome una foto es un jpg asi que no se asusten

Al montar el index correcto se soluciona pero a las horas vuelve a suceder

Tambien el servidor genera emails avisando por ej: lfd: Suspicious process running under user

Yo tenia la seguridad del firewall del servidor en la mas baja, ahora la puse en la mas alta de las 3 que ofrece.

Si alguno de ustedes ha tenido algun problema parecido, ruego darme alguna luz

saludos

Carlos

Apolo · 17-jun-2008, 23:44

Hola,

Si quieres un análisis forense informático, tendrás que contratar a un profesional en la materia.

Lo más probable es que se trate de inyección de código por alguna vulnerabilidad en el mismo código del sitio.

Fíjate que ese archivo no tenga permisos de escritura pública, es decir, por ejemplo con 644 debería estar bien.

Limpia ese código malicioso y cambia la clave de acceso (FTP y/o panel) de esa cuenta de hosting, por una más robusta.

Saludos,

ideasmultiples · 18-jun-2008, 03:54

Comprueba la hora de modificación, conexiones FTP y asegurate quye los scripts que tienes son la ´pultima versión.

Ten en cuenta que muchas veces la infección viene de la misma máquina que se utiliza para subir los archivos que está infectada por un troyano.

800-HELP.com · 18-jun-2008, 04:51

Lo que te tiene loco no es advanced xp defender sino un ataque a tu servidor, al bajar el nivel de protección, lo único que estás haciendo es facilitando la infección de tu propio computador, si LFD reporta un proceso sospechoso, tu servidor podría estar más comprometido de lo que ya evidentemente está.

altas de chile · 18-jun-2008, 22:27

Hola amigos, gracias por vuestros datos. Saben que despues de subir al maximo la seguridad del firewall, segui la instruccion de Apolo de robustecer las claves de acceso y el cuento ha cesado, ninguno de los sitios han sido modificados y por lo visto el tema estaria superado (por lo menos en estas ultimas 10 horas, espero siga asi) Las claves me las genero el mismo whm y me dice 100% de seguridad.
Ahora me gustaria saber cual de los emails automaticos que genera el servidor es el que me indicaria la intrusion de alguien. Y tambien si es posible cambiar el idioma de estos mensajes automaticos, ya que por ejemplo cuando alguna cuenta esta a punto de copar su capacidad, envia en mensaje en ingles.

Saludos

Carlos