CryptoPHP es una nueva amenaza (Noviembre, 2014) que se aprovecha de fallas y plugins infectados con WordPress, Joomla y Drupal. CryptoPHP compromete servidores web en gran escala.
CryptoPHP aparece por ejemplo en themes o plugins pirateados (nulled) y descargados por personas que no han pagado por ellos desde servidores seguros.
Esta amenaza se caracteriza por poder ser controlado a distancia para por ejemplo hacer envío de spam o realizar denegaciones de servicio -DDoS- además de blackhat SEO.
La única forma de resolver la amenaza de este backdoor es eliminar por completo la cuenta de web hosting y volver a instalarla porque el código del backdoor se modifica constantemente para evitar ser identificado. Muchos usuarios por ejemplo han eliminado el archivo “social.png” que genera el backdoor pero el mismo puede volver a ser regenerado.
- Scanner de CryptoPHP: Si administras servidores o tienes acceso SSH en tu cuenta de web hosting, recomendamos que utilices este script en perl para poder encontrar cuentas que hayan sido vulneradas por este backdoor.
- Identificar si tu servidor tiene CryptoPHP: Desde aquí podrás saber si tu servidor ha sido catalogado por diversas networks de antispam como infectado, en el caso que eso sucediera, los correos que se envíen desde tu servidor llegarán siempre a spam.
- CryptoPHP WhitePaper: Una agencia de seguridad informática ha desarrollado un whitepaper explicando los detalles del presente backdoor.
Consejo final para webmasters: Recuerda nunca descargar themes (diseños) pirateados, hackeados o gratuitos cuando deberían ser pagos porque los mismos pueden tener virus o troyanos (backdoors) como en este caso que podrían infectar o dañar un servidor de web hosting o al menos, a otros usuarios que también se alojan en él.