Virus en Prestashop

Hoy nos encontramos en un cliente algo muy raro, cuando entrabamos con nuestros ordenadores en los que tenemos antivirus Esset en todos los puestos nos saltaba esto:

Empezamos a investigar y detectamos una llamada a un fichero JS que no conocíamos:

Que llama a esta página:

aathitiyapravash[.]in/image/jquery_v14v.js

Nos vamos a la página y upss:

Aquí tenemos el problema, y tenemos la solución, pero no sabemos como se infectó, con lo que se debería actualizar la versión de Prestashop, en concreto hay dos ficheros modificados:

• classes\controller\controller.php
• classes\controller\FrontController.php

En los dos ficheros modificados la función es la misma smartyOutputContent, os mostaramos la incorrectas y las buenas a continuación, primero revisarmos el fichero classes\controller\controller.php:

Y ahora ponemos el bueno:

 

Si veis la última linea en la versión anterior hay un hex2bin, que los antivirus de servidor no los suelen reconocer. Este virus roba estos datos:

 

Productos, usuario,….. No hemos visto que haya tocado base de datos pero si es vuestro caso os aconsejamos que instale el core de nuevo y revisar todo despues de nuevo. La versión infectada deberias guardarla por si acaso.