Gumblar iFrames com virus no seu siteSe e webmaster, provavelmente ja ouviu falar acerca de ataques a sites que adicionam iframes em praticamente todos os ficheiros do site. Ja tivemos alguns clientes que se depararam com esta situacao e vimos desta forma explicar como e que e feito esse ataque e como o podera evitar.O ataque geralmente nao e gerado atraves de vulnerabilidades dos sites ou dos servidores, mas sim atraves de uma infeccao de um virus no computador do administrador/webmaster do site controlado por uma Botnet.Reconhecido como Gumblar pela ScanSafe e por Troj/JSRedir-R pela Sophos, esta nova botnet apareceu pela primeira vez em 2009 e e caracterizada por redireccionar as pesquisas dos utilizadores no Google e suspeita-se que a sua origem sejam ficheiros PDF (Acrobat Reader) ou SWF Flash (Adobe Flash).Os visitantes de um site infectado com o Gumblar serao redireccionados para um site alternativo com malware. Neste momento a rede de sites infectados e ja bastante grande, abrangendo milhoes de sites infectados.O site com malware ira forcar o browser do utilizador a abrir um PDF infectado que executa e explora uma vulnerabilidade no Acrobat para ganhar acesso ao computador do utilizador.O virus vai encontrar clientes FTP como o FileZilla e o Dreamweaver e como estes guardam a password como plain text, conseguem obter os dados de acesso FTP ao site do utilizador infectado.Ao encontrar os dados de acesso FTP desse utilizador, a botnet vai conseguir aceder normalmente ao servidor FTP usando uma autenticacao normal de password e username e infectar os ficheiros do site com uma iframe.Numa primeira fase vai fazer download de grandes partes do site e injectar codigo malicioso em ficheiros que contenham a tag como ficheiros HTML, PHP, JavaScript, ASP e ASPx. O codigo inserido sera um pequeno codigo Javascript base64-encoded que ira infectar os computadores dos visitantes do site que executarem o codigo.Poderao ser adicionadas iframes no codigo malicioso que vao conter links para sites maliciosos. O virus ira tambem tentar modificar ficheiros .htaccess e hosts e ainda criar ficheiros com o nome images.php em diretorios chamadas images.Devera ter em conta que esta nao e uma vulnerabilidade do servidor. E um ataque feito com autenticacao por password.O ataque nao e feito a nivel global no servidor, limitando-se aos ficheiros da home do utilizador em questao atacado.Para evitar estes ataques devera utilizar um cliente de FTP que guarde as passwords no seu computador de forma segura, manter os plugins do seu browser sempre actualizados e ter um anti-virus instalado que lhe permita detectar e bloquear a execucao desta virus.Devido ao numero de sites infectados, a propagacao deste virus e bastante rapida e ja infectou milhares de computadores. Ao ser infectado, o seu site sera mais um a ajudar a distribuicao deste virus na botnet. Se alguma vez detectar que o seu site foi atacado por este virus, devera entrar em contacto com o seu sysadmin para que ele possa verificar nos logs do servidor informacoes relevantes. 1o PASSO - Salve os arquivos de certificado recebidosVoce recebeu um arquivo .zip contendo 2 arquivos do seu certificado:Seu certificado -