{"id":69,"date":"2009-04-23T02:28:52","date_gmt":"2009-04-23T06:28:52","guid":{"rendered":"http:\/\/hackarandas.com\/blog\/?p=69"},"modified":"2009-04-23T11:24:08","modified_gmt":"2009-04-23T15:24:08","slug":"blogs-usados-para-indexar-sitios-de-spam","status":"publish","type":"post","link":"https:\/\/hackarandas.com\/blog\/2009\/04\/23\/blogs-usados-para-indexar-sitios-de-spam\/","title":{"rendered":"Blogs Usados para Indexar Sitios de Spam"},"content":{"rendered":"

Blogs Used for Indexing Spam Sites<\/u>
\n\"Pwned!\" Translate this page to english<\/a><\/p>\n

Hace no mas de dos semanas, empec\u00c3\u00a9 a observar que el blog de un amigo se comportaba de forma extra\u00c3\u00b1a: Cuando hac\u00c3\u00ada un post, este se visualizaba bien pero a los dos d\u00c3\u00adas desaparec\u00c3\u00ada el contenido y despu\u00c3\u00a9s de otros dos d\u00c3\u00adas regresaba. Esto se lo coment\u00c3\u00a9 a mi amigo y al analizar el contenido del post pudimos observar que al final concatenaron cientos de links a otros sitios con un estilo que los ocultaba. Algo parecido a esto:<\/p>\n


\n<u style=display:none><a href=\"http:\/\/www.sitiofueradecontexto.com\/event\/?p=292\">http:\/\/www.sitiofueradecontexto.com\/event\/?p=292<\/a> irssa
\n<a href=\"http:\/\/www.sitiofueradecontexto.com\/event\/?p=8306\">http:\/\/www.sitiofueradecontexto.com\/event\/?p=8306<\/a> nmeathgCnApiue
\n<a href=\"http:\/\/www.sitiofueradecontexto.com\/event\/?p=216\">http:\/\/www.sitiofueradecontexto.com\/event\/?p=216<\/a> ipNm
\n<a href=\"http:\/\/www.sitiofueradecontexto.com\/event\/?p=7207\">http:\/\/www.sitiofueradecontexto.com\/event\/?p=7207<\/a> Peh
\n----- 300 lineas mas ---
\n<\/u>
\n<\/code><\/p>\n

Lo curioso es que las ligas no se ven dentro del post y al ingresar a una de las ligas encontr\u00c3\u00a9 lo siguiente:
\n\"Sitio<\/a><\/p>\n

Pero si nos vamos a la raiz de la URL vemos un sitio totalmente diferente! Imaginen mi cara mientras sale de mi boca un \u00c2\u00bfQu\u00c3\u00a9 es lo que est\u00c3\u00a1 pasando? <\/p>\n

Resulta que los spammers est\u00c3\u00a1n hackeando sitios para meter spam de los diversos temas que ya sabemos. Estoy de acuerdo, esto no es nuevo, pero est\u00c3\u00a1 empleando una vulnerabilidad en los blogs para meter ligas ap\u00c3\u00b3crifas para que google las indexe y sean encontradas. Esto no lo he visto publicado en otro lado, pero si me equivoco, plz, dejen la liga en un comentario para complementar este post.<\/p>\n

Para muestra un bot\u00c3\u00b3n<\/strong><\/p>\n

Si buscamos la URL en google podemos ver lo siguiente:<\/p>\n

\"Spam<\/a><\/p>\n

Si nos vamos a una de las ligas que nos muestra Google, por ejemplo http:\/\/www.15digitalmarketing.co.uk\/articles\/<\/a> podemos ver la siguiente p\u00c3\u00a1gina:<\/p>\n

\"Sitio<\/a><\/p>\n

Si analizamos mas detenidamente el c\u00c3\u00b3digo HTML del sitio podemos ver los siguiente:<\/p>\n

\"Codigo<\/a>
\nhttp:\/\/www.hartoftheapple.com
\nC\u00c3\u00b3mo vemos, las ligas apuntan a http:\/\/www.hartoftheapple.com<\/a> que es un sitio que no tiene absolutamente nada que ver con la venta de medicinas pero que ha sido comprometido y que est\u00c3\u00a1 alojando sitios de Spam sin saberlo y a lo mejor hasta de Phishing.<\/p>\n

Regresemos al sitio al que se le ha inyectado el c\u00c3\u00b3digo y analicemos un poco mas del c\u00c3\u00b3digo fuente HTML de la primera p\u00c3\u00a1gina y observaremos mas c\u00c3\u00b3digo inyectado pero a otros sitios!<\/p>\n

\"C\u00c3\u00b3digo<\/a><\/p>\n

\"C\u00c3\u00b3digo<\/a><\/right><\/p>\n

Conclusi\u00c3\u00b3n<\/strong><\/p>\n

Lo m\u00c3\u00a9todos de los spammers se han vuelto cada vez mas complejos, desde insertar la publicidad en documentos PDF para brincarse los filtros<\/a> hasta lo que estoy presentando hoy. Estos usuarios maliciosos del Internet est\u00c3\u00a1n vulnerando la aplicaci\u00c3\u00b3n WordPress para inyectar su c\u00c3\u00b3digo, pero lo mas interesante es que lo hacen con sumo cuidado para no ser descubiertos. Hace casi diez a\u00c3\u00b1os, cuando empezaba con mi carrera de inform\u00c3\u00a1tica, se pod\u00c3\u00ada ver que el comprometer sitios era vandalismo sin sentido<\/a> que buscaba el reconocimiento y respeto de sus compa\u00c3\u00b1eros de team. Al parecer estos mismos script kiddies han crecido y han hecho de esta carrera delictiva un negocio remunerado y ligado al crimen cibern\u00c3\u00a9tico, no todos sientan cabeza y se apegan “al sistema”<\/a>, se dedican a comprometer sitios, crean botnet y cuando menos tiene una una infraestructura s\u00c3\u00b3lida para realizar delitos mas fuertes como el robo de identidad y el fraude electr\u00c3\u00b3nico.<\/p>\n

Si eres un blogger y usas el sistema de WordPress es importante que lo actualices en este momento. Puedes seguir la gu\u00c3\u00ada en la siguiente p\u00c3\u00a1gina<\/a> y te vas a ahorrar varios dolores de cabeza. Muchas veces no es el sistema de wordpress sino los plugins de terceros que instalamos, como le pas\u00c3\u00b3 a PHP BB<\/a> por lo que es importante actualizar estos tambi\u00c3\u00a9n.<\/p>\n

Si crees que tu sitio ha sido comprometido, las buenas pr\u00c3\u00a1cticas dictan, parchar el sistema operativo, reinstalar todo desde un respaldo limpio, cambiar todas las contrase\u00c3\u00b1as y restringir el acceso a usuarios sospechosos hasta que se recupere el control. Si eres como muchos que no hacen respaldo (mal muy mal) si es bueno reinstalar el c\u00c3\u00b3digo del portal, y revisar en scripts c\u00c3\u00b3digo malicioso y archivos extra\u00c3\u00b1os y\/o ocultos, al igual que el cron.<\/p>\n

No s\u00c3\u00a9 en que acabe esto pero est\u00c3\u00a1 muy interesante. A estas alturas ya todos los sitios que se analizaron han sido notificados sobre su posible comprometimiento y este post se va derechito al Cert de la UNAM<\/a>.<\/p>\n

Adri\u00c3\u00a1n Puente Z. <\/address>\n

Technorati Tags: Adrian Puente Z.<\/a>, Hackarandas<\/a>, hackarandas.com<\/a>, blogs<\/a>, spammers<\/a>, spam<\/a>, hacking<\/a>, hack<\/a>, nuevos metodos de spam<\/a>, blogger<\/a>, blog<\/a><\/small><\/p>\n\n

<\/div>","protected":false},"excerpt":{"rendered":"

Blogs Used for Indexing Spam Sites Translate this page to english Hace no mas de dos semanas, empec\u00c3\u00a9 a observar que el blog de un amigo se comportaba de forma extra\u00c3\u00b1a: Cuando hac\u00c3\u00ada un post, este se visualizaba bien pero … Continue reading →<\/span><\/a><\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1,8,4],"tags":[15,9,80,13,10,14],"class_list":["post-69","post","type-post","status-publish","format-standard","hentry","category-experience-and-stories","category-hacking","category-security","tag-blogger","tag-hacker","tag-hacking","tag-nuevos-metodos-de-spam","tag-spam","tag-wordpress"],"_links":{"self":[{"href":"https:\/\/hackarandas.com\/blog\/wp-json\/wp\/v2\/posts\/69","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/hackarandas.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/hackarandas.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/hackarandas.com\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/hackarandas.com\/blog\/wp-json\/wp\/v2\/comments?post=69"}],"version-history":[{"count":26,"href":"https:\/\/hackarandas.com\/blog\/wp-json\/wp\/v2\/posts\/69\/revisions"}],"predecessor-version":[{"id":97,"href":"https:\/\/hackarandas.com\/blog\/wp-json\/wp\/v2\/posts\/69\/revisions\/97"}],"wp:attachment":[{"href":"https:\/\/hackarandas.com\/blog\/wp-json\/wp\/v2\/media?parent=69"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/hackarandas.com\/blog\/wp-json\/wp\/v2\/categories?post=69"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/hackarandas.com\/blog\/wp-json\/wp\/v2\/tags?post=69"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}