Hackers están utilizando una botnet para buscar en Google sitios que usan instalaciones vulnerables del software vBulletin.

Alrededor de 35 mil sitios usan vBulletin (software popular para crear foros en Internet), fueron comprometidos recientemente, aprovechando la presencia de archivos sobrantes de instalación del programa, según el investigador Brian Krebs.

La manera en que se comprometió a los sitios es sencilla, sin embargo se mostró que los motores de búsqueda como Google pueden llegar a ser parte de un ataque.

Los hallazgos de Krebs fueron descubiertos junto con el trabajo realizado por la firma de investigación de seguridad Imperva, cuyos miembros creen que los ataques se están ejecutando a través de una botnet. La botnet no solo inyecta código malicioso en los sitios que han sido víctimas, si no también realizan búsquedas en Google de forma masiva con el objetivo de encontrar posibles sitios vulnerables creados con vBulletin.

Una contramedida para búsquedas automatizadas para un usuario normal es el uso de CAPTCHA, esto evita la mayoría de los ataques que involucran a Google.

Dos de los ataques que identificó Krebs son fáciles de detectar. Uno consiste en la adición de cuentas de administrador clandestinas en el sitio vulnerable creado con vBulletin; el otro, "al parecer es utilizado para hacer modificaciones de sitios web", agrega una cuenta de administrador llamada "Th3H4ck".

La buena noticia: La misma búsqueda de Google que hizo posible encontrar sitios vulnerables con vBulletin, también se puede utilizar para identificar la existencia de instalaciones de vBulletin comprometidas.

El escaneo de vulnerabilidades con Google no es una técnica nueva; Bruce Schneier señaló en 2008 que dicho proceso no era solo posible, sino que podía ser automatizado. Pero la implementación del escaneo con Google mediante una botnet para buscar sitios vulnerables es una operación paralela. Esto es un gran problema, al menos hasta que Google encuentre una manera de bloquear este tipo de técnicas sin afectar los servicios regulares de búsqueda.

Krebs señaló que es dificil hecharle la culpa a vBulletin. Los fabricantes del software recomendaron que se eliminen los directorios /install y /core/install después de configurar el programa.