Santy.A elimina todo el contenido de los servidores phpBB a través de Google

El gusano denominado Santy.A busca a través de Google servidores phpBB que tienen una vulnerabilidad y así permite alojarse en ellos y borrar todo su contenido. El fabricante de antivirus Panda ha comentado que, de momento, no hay noticia de que ataque a usuarios domésticos, a no ser que tenga un servidor de estas características instalado en su máquina.

El código malicioso utiliza Google para hacer búsquedas masivas de servidores web con phpBB en versiones anteriores a la 2.0.11 y que no contenga el parche de vulnerabilidad. Una vez localizados dichos servidores utiliza la vulnerabilidad PHPBB Remote URL Decode Input Validation Vulnerability para obtener acceso remoto al servidor web. Al conseguirlo, recorre los diferentes directorios y sobrescribe los ficheros con extensión .asp, .htm, .jsp, .php, .phtm y .shtm por uno en HTML que muestra el mensaje “This site is defaced!! NeveEverNoSanity WebWorm generation X”.
En dicho mensaje, “x” va cambiando en función de las infecciones que el virus lleva a cabo. Como el gusano afecta sólo a los servidores y se distribuye entre ellos, un usuario doméstico no resultará infectado aunque visite las páginas infectadas. Sin embargo, sí es posible que, en caso de continuarse distribuyendo de manera masiva, se ralenticen los servicios de Internet e incluso cabe la posibilidad de que se colapse.