En las últimas horas hemos descubierto un nuevo vector de ataque a través de sitios web, el cual se basa en la modificación de un archivo importante, llamado .htaccess, en los sistemas que usan Apache como servidor web. El ataque se produce cuando los usuarios ingresan a servidores web que han sido vulnerados y cuyo archivo .htaccess ha sido modificado para que se produzca una redirección automática a un sitio dañino o con contenido malicioso.
Este tipo de ataques es sumamente peligroso porque cualquier persona podría ingresar realmente a cualquier sitio vulnerado y automáticamente y sin previo aviso, será redirigido al sitio dañino. Supongamos que poseemos un sitio llamado "sitio-el-usuario.com" y se encuentra lo siguiente en el archivo .htaccess:
En este caso cada vez que un usuario cualquiera ingrese al "sitio-del-usuario.com" será redirigido automáticamente a "sitio-danino.com".
En los ejemplos que se pueden encontrar en Internet, el usuario es enviado a un sitio del nefasto WinAntivirus 2008 cuyo accionar puede conocerse a través del artículo Rogue: falsos antivirus gratis y en nuestro Video Educativo.
Como siempre el instalador (antivirus.v.1.0.20586.exe) del mismo es detectado por Heurística por ESET NOD32 como probablemente una variante de Win32/Statik:
En este caso es fundamental que todos los administradores tomen los recaudos necesarios para que sus servidores no se encuentren vulnerables y no se permita la modificación del sistema de archivos por personas inescrupolosas. Imagine la pérdida de imagen de su sitio, si el mismo modificado por este tipo de personas y que todos los visitantes de su sitio web es redirigido a un sitio malicioso.
En malware internacional alojado en sitios latinoamericanos dimos algunas recomendaciones al igual que cuando hablamos de los ataques masivo a miles de sitios webs para evitar este tipo de ataques.
Actualización 23:00 hs: cabe aclarar que el archivo .htaccess puede ser encontrado en sistemas *NIX o Windows con Apache instalado, por lo que lo descripto anteriormente aplica a cualquier configuración.
Cristian
