OsCommerce: Invasão já afeta milhões de usuários

Você é usuário(a) do OsCommerce? Bom, muito bom! Da versão 2.2? Ruim, muito ruim!
A notícia de hoje é bombástica para usuários o OsCommerce 2.2: Você pode ter sido invadido(a)! É isso mesmo. Foi descoberto um malware – chamado willysy – que faz uso de três vulnerabilidades conhecidas da versão 2.2 do nosso querido OSC. De acordo com informações da empresa de segurança norte americana Armorize, já são mais de 6 milhões de páginas infectadas.

Funcionamento da Invasão

Ao explorar as falhas da versão 2.2, o malware é instalado na loja virtual e cria um iFrame de tamanho imperceptível, que carrega automaticamente um código javascript contendo os comandos de infecção. Quando o visitante entra no site, sem perceber, está sendo infectado pelo vírus.
Dentro do computador, ele passa a procurar por falhas em outros softwares e já é conhecido que lida com vulnerabilidades dos seguintes sistemas: Java, Adobe Reader, Windows Help Center e Internet Explorer. Ao que tudo indica, o único sistema operacional afetado é o Windows (ainda não há informações concretas sobre quais versões).

A melhor arma: Atualização constante

Sempre reforçamos aqui no blog a importância de manter os seus CMSs, temas e plugins atualizados. Neste caso, por exemplo, se o responsável pela loja virtual tivesse feito a atualização para as versões publicadas desde o lançamento da descoberta da vulnerabilidade (2.3, 2.31 e 3.0.1), não teria sido uma vítima do willysy. O pior, nestes casos, é que como o malware é instalado via iFrame, há a possibilidade do crawler do Google (robô) identificá-lo e adicionar o seu site em sua blacklist.
Conforme abordamos aqui no Blog e mostramos neste vídeo, a atualização do CMS não gera um procedimento muito oneroso. Sabemos que há incompatibilidades que podem quebrar um layout ou inutilizar um plugin, mas vale mais a pena ter o trabalho de reescrita de um código, do que a perda de todo um trabalho, ou pior, das informações de um banco de dados, não é mesmo?
Para atualizar o seu OsCommerce, acesse o site oficial.