O Timthumb é um script em php, com a finalidade de redimencionar uma imagem dentro de um website, mantendo uma determinada resolução sem se preocupar com o tamanho (em pixels) original da imagem. Esse script é muito utilizado em sites e blogs no WordPress, não em seu código básico, mas em plugins e temas de terceiros.

Feita a introdução, esse artigo é para informar que o Timthumb em versões anteriores a 2.0 possui uma vulnerabilidade perigosa que permite que um invasor possa injetar códigos php em seu site que evetualmente use esse script. A forma conhecida de invasão faz que o site seja um propagador de vírus aos usuários que acessa seu website.

Houve uma ocorrência em um de nossos sites, que felizmente foi detectado no momento que foi alterado e com isso houve a interrupção, limpeza e recolocação do site no ar em menos de duas horas. Para os que ainda não conhecem o problema vamos listar aqui os passos para que possa se precaver ou até mesmo resolver qualquer problema ocasionado pela versão em questão do Timtumb.

Como saber se meu website usa o Timthumb

O Timthumb se resume a um único arquivo chamado timthumb.php, mas ele não é um plugin e sim parte de um outro plugin ou template, por isso o melhor a fazer é olhar as pastas que compõe a sua instalação do WordPress e checar a existência do arquivo (timthumb.php).

Existe uma ferramenta online que busca vulnerabilidades na instalação de seu site: Sucuri SiteCheck e pode ajudar a encontra-lo.

O que acontece.

Alguns arquivos são inseridos em sua instalação do Wordpress e outros são alterados. Aqui estão listados os arquivos detectados pelo nosso caso em especial:

Na pasta do Timthumb (que pode variar de acordo com o tema)

• Incluído: e334…php (uma sequencia enorme)
• Incluído: upd.php
• Incluído: Várias entradas na pasta cache
• Alterado: timthumb.php

• Incluído: /wp-admin/commom.php
• Incluído: /wp-admin/upd.php
• Incluído: /wp-admin/js/config.php

Na pasta raiz do WordPress:

• Alterado: /wp-config.php
• Alterado:  /index.php

O que fazer

Os arquivos acima que foram incluídos, deverão ser apagados.

A pasta cache do Timthumb, deve ser esvaziada.

O próprio arquivo do Timthumb deve ser alterado para sua versão mais recente, que é a 2.7 e poderá ser baixada aqui:

http://timthumb.googlecode.com/svn/trunk/timthumb.php

Havendo alguma dúvida poderá verificar a versão do Timthumb no inicio do script, mesmo assim, é recomendado que se verifique se não sofreu alteração, visto que em nosso caso a versão existente era a 2.4 e já havia sido adulterada. É bom lembrar que a partir da versão 2.0 o Timthumb não possui problemas, porém a invasão já pode ter dissimulado essa informação. Todo cuidado é pouco.

O arquivo wp-config.php poderá ser editado manualmente, “limpando o código inserido ao seu final” ou então substituído por seu backup (Você TEM que ter backup). O arquivo index.php, da pasta raiz do WordPress pode ser substituido por seu equivalente de mesma versão do WordPress.

Convém bloquear o acesso ao seu site dos endereços IPs:

• 91.220.*.*
• 91.196.*.*

Não sabendo como proceder veja alguns links abaixo que ajudarão.

Uma lista de temas com Timthumb

No Sucuri Reserach Blog, foi publicado uma lista de temas que contém o Timthumb e podem estar vulneráveis pelo problema citado. Essa lista não é completa e não é totalmente confiável pois alguns temas já sofreram alterações, mas já é uma base. Lembrem-se que não somente temas estão passíveis de usar o Timthumb, alguns plugins fazem uso dele também.

Timthumb Security Vulnerability – List of Themes

Referências:

Timthumb Vulnerability + Security Update

markmaunder.com/2011/zero-day-vulnerability-in-many-wordpress-themes

blog.vaultpress.com/2011/08/02/vulnerability-found-in-timthumb

blog.sucuri.net/2011/08/wordpress-sites-hacked-with-superpuperdomain-com-attacking-timthumb-php.html

ravidreams.com/2011/08/fix-timthumb-security-issue

[Security] TimThumb Vulnerability – Fixes

TimThumb.php Vulnerability Not Only Affecting Themes – Plugins too (vslider)

ma.tt/2011/08/the-timthumb-saga

techspheria.com/2011/08/phpremoteview-hack-what-it-is-and-how-to-remove-it

markmaunder.com/2011/wordthumb-is-now-timthumb-2-0

Alerta

Esta falha de segurança também se aplica a todos os seus temas inativos também. Se você tiver qualquer tema, mesmo se estiver inativo, que contém o arquivo timthumb.php então você está potencialmente em risco. A sugestão é excluir todos os temas que você não está usando, além de atualizar os que você usa. Este arquivo é muito comum em temas WordPress, gratuitos ou pagos.

Todo técnico, ao se deparar com vírus de computador, deve ter um arsenal a sua disposição, para não perder a guerra para uma formatação.

O Kaspersky 2011 Rescue CD é uma poderosa arma desse arsenal. É a versão mais atual desse boot cd, especializado em remover vírus, usando o método mais eficiente, que é a partida através do CD, com sistema operacional limpo e a partir daí efetuar a varredura.

Já citado em outros artigos:

Kaspersky Rescue Disk 10.0.23.4

Kaspersky Rescue Disk – Leia.

Nesse assunto, vírus, ferramentas atualizada, é sempre a melhor opção.

No pacote existe o ISO do CD, um ISO para USB, além de uma pasta Help contendo farta documentação em vários idiomas, inclusive o português (padrão chm, help do Windows). Explica como criar o CD, instalar no pen drive e usar o software, tudo bem detalhado.

Download

Kaspersky_2011_RescueCD.rar

Se o negócio é manter um arsenal de ferramentas contra vírus, aqui vai mais uma:

AVG Rescue CD

O site oficial descreve:

Um poderoso conjunto de ferramentas para recuperar e consertar máquinas infectadas.

O AVG Rescue CD é um poderoso conjunto de ferramentas para a recuperação e reparação de máquinas infectadas. Fornece serviços essenciais para administradores de sistemas e outros profissionais de TI e inclui as seguintes características:

• Abrangente conjunto de ferramentas de administração
• Sistema de recuperação de infecções de vírus e spyware
• Adequado para a recuperação de sistemas operacionais MS Windows e Linux (sistemas de arquivos FAT32 e NTFS)
• Capacidade de executar uma inicialização limpa a partir de CD ou USB stick
• Suporte e serviço gratuitos para os titulares de licenças pagas de qualquer produto AVG
• FAQ e Fórum para usuários do AVG Free

Download Rescue CD (for CD creation)

Download Rescue CD (for USB stick)

Acordo de Licenciamento do AVG Rescue CD.

Guia do AVG Rescue CD.

Fonte: www.avgbrasil.com.br/rescue-cd

A última versão conhecida do Antivirus Kaspersky em sua versão bootável, isto é, um programa independente de sistema operacional. O procedimento é dar partida no computador através do sistema operacional que está no CD (Boot CD) e com isso fazer uma varredura mais confiável a procura de vírus e sem a interferência do sistema operacional instalado no computador, que se estiver infectado, certamente atrapalhará o funcionamento do anti-virus.

Com esse tipo de versão as chances de sucesso em remoção de vírus aumentam muito. Trata-se de CD indispensável na pasta do técnico de computador.

A versão aqui disponível é a 10.0.23.4, data de produção: 14/07/2010.

Download:

sharingmatrix.com/file/13904673/kav_rescue_10.iso

• Antivírus e outros
• Boot CD – A vez dos Antivirus
• Panda USB Vaccine – Antimalware e Vacina para dispositivos USB
• Dr.Web LiveCD Anti-virus Protection
• Kaspersky Rescue Disk – Leia.

Mas existem mais ferramentas e algumas desconhecidas dos técnicos, então vamos relacionar algumas:

A linha de produtos produzidos por VirusBlokAda é baseado no motor antivírus desenvolvido. VBA32 é recomendado para usuários domésticos. É uma ferramenta rápida para detectar e neutralizar vírus, worms e-mail, cavalos de tróia e outros malwares (backdoors, adware, spyware, etc) em tempo real e on-demand em computadores que executam o Windows.

Sua versão de Boot pode ser baixado em: Download

Com o avanço da tecnologia malware nos últimos anos, e a capacidade de se esconder dentro de um sistema executando o Windows, foi determinado que uma solução seria necessária tal que um sistema Windows poderão ser digitalizados (e limpas), sem a necessidade de o sistema operativo Windows para ser executado.

O Alternate Operating System Scan é uma tentativa de ser a solução para o problema acima. É um Live CD, vai detectar, digitalizar e limpar uma infecção de sistema do Windows.

Download: www.pctools.com/mirror/AOSS.iso

G Data é um antivírus multi-motor que usa os motores do BitDefender e avast!

Download.

O Norton Recovery Tool, é outra ferramenta que atua automaticamente. É um produto comercial e requer chave do produto.

Download Norton Recovery Tool ISO to Create a Norton Rescue CD

O OpenDiagnostics Live CD (anteriormente conhecido como Live CD ClamAV) foi criado há alguns anos quando um cara chamado Brandon Perry achava que seria maravilhoso ser capaz de examinar computadores em tempo real, independentemente do sistema operacional.

Download Latest

—

No rol de ferramentas do técnico tem que existir opções de remoção de vírus.

Quem conhecer os Antivirus já publicados e quiser fazer uma resenha, entre em contato.

Em setembro de 2009 foi publicado um artigo de muito sucesso (3.439 visualizações) sobre CD de Boot com Antivirus, releia aqui:

Boot CD – A vez dos Antivirus

Esse artigo aponta para uma cópia desatualizada do Kaspersky Rescue Disk, o que pode ser ruim para a eficácia do mesmo.

Não foi encontrado, na página oficial, referência para uma versão mais atual, essa referência foi encontrada no Baixaqui, ainda assim uma cópia de 2009:

www.baixaki.com.br/download/kaspersky-rescue-disk.htm

Com algum esforço foi localizado no mesmo repositório do nosso artigo original, uma pasta/diretório de nome “RescueDisk10″, mas não houve condições de testa-la.

O link é: http://devbuilds.kaspersky-labs.com/devbuilds/RescueDisk10/

O arquivo é: kav_rescue_10.iso

E a descrição é: Version kav_rescue_10.iso: 10.0.18.3

Missão: Baixar, checar o conteúdo, testar e relatar nos comentários.

Alguém se habilita?

O Dr.Web Anti-virus é de origem russa com pouca representação na América Latina, mas uma cópia é usada no Hirens para substituir o Kaspersky Virus Removal Tool até então utilizado.

O mais interessante é que possui uma versão LiveCD, ou seja, que pode dar partida no computador infectado e executar a varredura. Baseado em Linux, e com baixa exigência de Hardware, vem se juntar aos demais Boot CDs de Anti Virus que já foram analisados antes. (Veja: Boot CD – A vez dos Antivirus)

Além disso tem algumas funções básicas:

· Dr.Web Scanner for Linux;
· Firefox browser;
· Sylpheed mail client;
· Midnight Commander file manager;
· command-line terminal to work directly from under the graphic shell;
· Leafpad text editor.

A presença do Firefox e de um cliente de mail chama a atenção para o suporte a rede e Internet.

Mais uma ferramenta de apoio ao técnico e a usuários avançados, quem tiver mais informações deixe nos comentários.

Download:

Dr.Web LiveCD Free Download

Dr.Wev LiveCD User Manual

Fica também a dica:

Por algum tempo, usei o Penclean para prevenir esse tipo de virus, o software faz procedimentos distintos dependendo do que deseja fazer. A vacina do pendrive (serve para outros dispositivos de massa USB) consiste em retirar o autorun.inf e substituí-lo por uma pasta de mesmo nome, contendo um arquivo com atributos que evitam sua fácil deleção. Já no computador, consiste em desativar qualquer execução automática de midias externas, isso inclui USB e CDs. Acaba sendo um mal necessário.

O Penclean não me parece uma opção atual, está difícil obter uma cópia através de download, assim uma nova opção surge:

Panda USB Vaccine – Antimalware and Vaccine for USB devices

Efetue o download e experimente essa alternativa.

Download:

USB Vaccine exe (zip)

Fonte: Notícia no Tecnociência.

Todo técnico sabe que para retirar um vírus com segurança a regra é clara. Deve-se iniciar o computador com um sistema operacional limpo e passar um bom antivirus.

Mas para o usuário comum nem sempre é possível, o Windows estando infectado não serve, disquete nem pensar, CD de instalação do Windows é limitado, resta dar boot por um CD, mas nem esse está fácil de obter. Bom, aqui vão algumas dicas:

Download Kaspersky Rescue CD

Kaspersky é uma das melhores empresas de antivirus  e agora fornece um CD de recuperação absolutamente livre que contém as últimas versões do Kaspersky anti-vírus. Assim você pode analisar o seu sistema de inicialização do sistema usando o Kaspersky Rescue CD.

Download BitDefender Rescue CD

BitDefender também é um grande software anti-virus. Também fornece gratuitamente um CD de recuperação que vem junto com o mais recente BitDefender anti-virus. A melhor coisa neste CD de recuperação é, quando você inicializar usando este CD e se conecta à Internet, pode atualizar as definições de vírus.

Download Avira Rescue CD (ISO)

Download Avira Rescue CD (EXE)

Avira é um dos melhores anti-vírus Free e também oferece um CD de recuperação livre. É um CD baseado em Linux, que pode ajudá-lo na varredura de seu sistema de infecção por vírus.

.

Download F-Secure Rescue CD

Outro Linux Rescue CD com o que pode ajudá-lo a varredura de seu sistema. Ele também pode atualizar as definições de vírus, se uma conexão de Internet está disponível caso contrário, você pode atualizá-lo manualmente utilizando drives USB.

.

Purchase AVG Rescue CD

O AVG é um dos melhores anti-vírus grátis e também oferece CD de recuperação, mas o seu não é livre. Você precisará comprá-lo. Ele contém muitas ferramentas úteis, incluindo sistema de anti-vírus, editor do registro, o Bloco de Notas, comandante livre, etc

Purchase avast! Rescue CD

É também um bom anti-vírus grátis como o AVG e Avira. Ele também oferece CD de emergência, que não é livre, o mesmo que o AVG. O CD de inicialização contém anti-virus, registro limpo, editor de registro, limpador de disco, trituradora de disco, etc

Fonte: Download FREE Bootable Rescue CDs from Kaspersky, BitDefender, Avira, F-Secure and Others – Tweaking with Vishal

Observações:

A última versão do Hiren´s Boot CD contém uma ferramenta de remoção de virus da Kaspersky.

A solução do Avast, chamada Avast Bart CD, foi por muito tempo sonho de consumo. Mas seu custo é alto, para um “serviceman” é de cerca de R$ 800,00.

WP Security Scan

A finalidade desse plugin é efetuar uma checagem nas configurações de seu site Wordpress procurando por falhas de segurança que possam auxiliar um invasor.

Basicamente é verificado:

- Permissões dos arquivos e pastas.

- Senhas

- Segurança do Banco de Dados

- Se a versão está oculta

- Se o administrador está seguro.

Pessoalmente eu uso esse plugin para checagem periódica, ativando-o somente quando necessário.

WP Security Scan | WordPress Developer

AntiVirus

Trata-se de um antivirus para o Wordpress. O programa verifica todos os arquivos do seu template a busca de códigos maliciosos. Já está atualizado para o worm descrito recentemente. Permite agendamento para verificação frequente.

AntiVirus for WordPress – Clever plugin for better blog security

Espero que a informação seja útil.