北京時(shí)間9月20日，杭州公安發(fā)布《杭州警方通報(bào)打擊涉網(wǎng)違法犯罪暨‘凈網(wǎng)2019’專項(xiàng)行動(dòng)戰(zhàn)果》一文，文章曝光了國(guó)內(nèi)知名PHP調(diào)試環(huán)境程序集成包“PhpStudy軟件”遭到黑客篡改并植入“后門”。截至案發(fā)，近百萬(wàn)PHP用戶中超過(guò)67萬(wàn)用戶已被黑客控制，并大肆盜取賬號(hào)密碼、聊天記錄、設(shè)備碼類等敏感數(shù)據(jù)多達(dá)10萬(wàn)多組，非法牟利600多萬(wàn)元。
面對(duì)如此性質(zhì)惡劣的網(wǎng)絡(luò)攻擊事件，360安全大腦已國(guó)內(nèi)首家完成了針對(duì)“PhpStudy后門”的修復(fù)支持，能夠有效清除和修復(fù)該植入“后門”，第一時(shí)間守護(hù)用戶的個(gè)人數(shù)據(jù)及財(cái)產(chǎn)安全，建議廣大用戶盡快前往https://dl.360safe.com/instbeta.exe下載安裝最新版360安全衛(wèi)士進(jìn)行修復(fù)!
案情破獲：自2016年開(kāi)始潛伏，累計(jì)67萬(wàn)電腦淪為“肉雞”
PhpStudy軟件對(duì)于國(guó)內(nèi)眾多開(kāi)發(fā)者而言，并不陌生。它是一款免費(fèi)的PHP調(diào)試環(huán)境的程序集成包，集成了最新的Apache、PHP、MySQL、phpMyAdmin、ZendOptimizer多款軟件一次性安裝，無(wú)需配置即可直接使用，具有PHP環(huán)境調(diào)試和PHP開(kāi)發(fā)功能。因?yàn)槊赓M(fèi)公益、簡(jiǎn)易方便，現(xiàn)已發(fā)展到一定的規(guī)模，有著近百萬(wàn)PHP語(yǔ)言學(xué)習(xí)者、開(kāi)發(fā)者用戶。
然而，如此綠色無(wú)公害的“國(guó)民”開(kāi)發(fā)軟件遭到了黑客的毒手，并且犯罪動(dòng)機(jī)竟然出自黑客的技癢和虛榮心。據(jù)杭州公安披露，黑客組織早在2016年就編寫了“后門”文件，并非法侵入了PhpStudy的官網(wǎng)，篡改了軟件安裝包植入“后門”。而該“后門”具有控制計(jì)算機(jī)的功能，可以遠(yuǎn)程控制下載運(yùn)行腳本實(shí)現(xiàn)用戶個(gè)人信息收集。
從2016年起，黑客利用該“后門”犯罪作惡一發(fā)不可收拾，大量中招的電腦淪為“肉雞”執(zhí)行危險(xiǎn)命令，不計(jì)其數(shù)的用戶賬號(hào)密碼、電腦數(shù)據(jù)、敏感信息被遠(yuǎn)程抓取和回傳。據(jù)統(tǒng)計(jì)，黑客已控制了超過(guò)67萬(wàn)臺(tái)電腦，非法獲取賬號(hào)密碼類、聊天數(shù)據(jù)類、設(shè)備碼類等數(shù)據(jù)10萬(wàn)余組，而此案也是2019年以來(lái)，國(guó)內(nèi)影響最為嚴(yán)重的供應(yīng)鏈攻擊事件。
雷霆行動(dòng)：“后門”涉及多個(gè)版本，360安全大腦國(guó)內(nèi)率先支持修復(fù)!
值得注意的是，經(jīng)360安全大腦的監(jiān)測(cè)發(fā)現(xiàn)，被篡改的軟件版本并不單單是官方通告的PhpStudy2016版本中的php5.4版本，而是在PhpStudy2016版和2018版兩個(gè)版本中均同時(shí)被發(fā)現(xiàn)有“后門”文件的存在，并且影響部分使用PhpStudy搭建的PHP5.2、PHP5.3和PHP5.4環(huán)境。雖然目前官方軟件介紹頁(yè)面中的下載鏈接已經(jīng)失效，但在官網(wǎng)歷史版本中仍能下載到。除了官網(wǎng)外，一些下載站提供的相同版本的PhpStudy也同樣“不干凈”。
360安全大腦的進(jìn)一步深度溯源，確認(rèn)絕大多數(shù)后門位于PhpStudy目錄下的“php\php-5.4.45\ext\php_xmlrpc.dll”文件和“\php\php-5.2.17\ext\php_xmlrpc.dll”文件中，不過(guò)也有部分通過(guò)第三方下載站下載的PhpStudy后門位于“\php53\ext\php_xmlrpc.dll”文件中。通過(guò)查看字符串可以發(fā)現(xiàn)文件中出現(xiàn)了可疑的“eval”字符串。
(php_xmlrpc.dll文件中可疑的“eval”字符串)
“eval”字符串所在的這段代碼通過(guò)PHP函數(shù)gzuncompress解壓位于偏移0xd028到0xd66c處的shellcode并執(zhí)行。
(解壓shellcode并執(zhí)行)
(部分shellcode)
經(jīng)過(guò)解壓之后的shellcode如下圖所示，shellcode中經(jīng)過(guò)base64編碼的內(nèi)容即為最終的后門。
(解壓后的shellcode)
最終的后門請(qǐng)求C&C地址360se.net，執(zhí)行由C&C返回的內(nèi)容，目前該地址已無(wú)法正常連接。
(后門代碼示意圖)
雖然在杭州網(wǎng)警專案組的行動(dòng)下，已經(jīng)分別在海南、四川、重慶、廣東分別將馬某、楊某、譚某、周某某等7名犯罪嫌疑人緝拿，不過(guò)經(jīng)360安全大腦的關(guān)聯(lián)分析，目前網(wǎng)絡(luò)中仍然有超過(guò)1700個(gè)存在“后門”的php_xmlrpc.dll文件。
這些通過(guò)修改常用軟件底層源代碼，秘密添加的“后門”，可以在用戶無(wú)感知的狀態(tài)下，非法獲取用戶隱私數(shù)據(jù)，嚴(yán)重侵害了人民群眾的合法權(quán)益，甚至危害國(guó)家安全。而360安全大腦通過(guò)多種技術(shù)手段防御，可以第一時(shí)間感知此類惡意文件的態(tài)勢(shì)進(jìn)程，并國(guó)內(nèi)首家推出了修復(fù)方案。同時(shí)，360安全大腦特別建議：
1、盡快前往https://dl.360safe.com/instbeta.exe，及時(shí)下載安裝最新版360安全衛(wèi)士，能有效清除并修復(fù)PhpStudy安裝目錄下的“后門”文件，全面保護(hù)個(gè)人信息及財(cái)產(chǎn)安全;
2、請(qǐng)及時(shí)修改服務(wù)器密碼，其他使用相同注冊(cè)郵箱和密碼的網(wǎng)絡(luò)帳戶也應(yīng)該一并修改，消除風(fēng)險(xiǎn);
3、不要隨意下載，接收和運(yùn)行不明來(lái)源的文件，盡量到PhpStudy官網(wǎng)(https://www.xp.cn/)下載最新版PhpStudy安裝包進(jìn)行更新，以防中招;
附錄：部分IOCs
被篡改的php_xmlrpc.dll：
c339482fd2b233fb0a555b629c0ea5d5
0f7ad38e7a9857523dfbce4bce43a9e9
8c9e30239ec3784bb26e58e8f4211ed0
e252e32a8873aabf33731e8eb90c08df
9916dc74b4e9eb076fa5fcf96e3b8a9c
f3bc871d021a5b29ecc7ec813ecec244
9756003495e3bb190bd4a8cde2c31f2e
d7444e467cb6dc287c791c0728708bfd
2018版PhpStudy安裝程序
md5: fc44101432b8c3a5140fcb18284d2797
2016版PhpStudy安裝程序
md5: a63ab7adb020a76f34b053db310be2e9
md5：0d3c20d8789347a04640d440abe0729d
URL：
hxxp://public.xp.cn/upgrades/PhpStudy20180211.zip
hxxps://www.xp.cn/PhpStudy/PhpStudy20161103.zip
hxxps://www.xp.cn/PhpStudy/PhpStudy20180211.zip
CC:
www.360se.net:20123
www.360se.net:40125
www.360se.net:8080
www.360se.net:80
www.360se.net:53
bbs.360se.net:20123
bbs.360se.net:40125
bbs.360se.net:8080
bbs.360se.net:80
bbs.360se.net:53
cms.360se.net:20123
cms.360se.net:40125
cms.360se.net:8080
cms.360se.net:80
cms.360se.net:53
down.360se.net:20123
down.360se.net:40125
down.360se.net:8080
down.360se.net:80
down.360se.net:53
up.360se.net:20123
up.360se.net:40125
up.360se.net:8080
up.360se.net:80
up.360se.net:53
file.360se.net:20123
file.360se.net:40125
file.360se.net:8080
file.360se.net:80
file.360se.net:53
ftp.360se.net:20123
ftp.360se.net:40125
ftp.360se.net:8080
ftp.360se.net:80
ftp.360se.net:53
- 特斯拉Model Y新版預(yù)售，iPhone 18 Pro系列升級(jí)，汽車界與科技界碰撞新火花
- 小鵬汽車何小鵬回應(yīng)特斯拉 Model Y 撞臉風(fēng)波：設(shè)計(jì)碰撞，靈感碰撞，究竟誰(shuí)更勝一籌？
- 日本車商2024年新車銷量下滑，本田跌至近10年最低位，中國(guó)市場(chǎng)面臨挑戰(zhàn)？
- 英偉達(dá)批評(píng)美政府AI芯片出口限制：限制不利己，全球轉(zhuǎn)向替代技術(shù)之風(fēng)
- 特斯拉煥新Model Y難敵華為問(wèn)界R7，智能科技誰(shuí)領(lǐng)風(fēng)騷？
- 開(kāi)源巨頭聯(lián)手打造Chromium聯(lián)盟，推動(dòng)Linux生態(tài)創(chuàng)新發(fā)展
- 曹德旺巨資辦校，福耀科技大學(xué)引領(lǐng)行業(yè)新風(fēng)向，培養(yǎng)未來(lái)之星
- 愛(ài)馳汽車陷股權(quán)凍結(jié)風(fēng)波，能否順利復(fù)工復(fù)產(chǎn)引關(guān)注
- 小鵬汽車CEO何小鵬：雷軍不僅直言不諱，還勸我多做營(yíng)銷，不失為良師益友
- 馬斯克大膽計(jì)劃：未來(lái)十年內(nèi)特斯拉機(jī)器人產(chǎn)能提升10倍，300億機(jī)器人將顛覆各行各業(yè)
免責(zé)聲明：本網(wǎng)站內(nèi)容主要來(lái)自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性，但不保證有關(guān)資料的準(zhǔn)確性及可靠性，讀者在使用前請(qǐng)進(jìn)一步核實(shí)，并對(duì)任何自主決定的行為負(fù)責(zé)。本網(wǎng)站對(duì)有關(guān)資料所引致的錯(cuò)誤、不確或遺漏，概不負(fù)任何法律責(zé)任。任何單位或個(gè)人認(rèn)為本網(wǎng)站中的網(wǎng)頁(yè)或鏈接內(nèi)容可能涉嫌侵犯其知識(shí)產(chǎn)權(quán)或存在不實(shí)內(nèi)容時(shí)，應(yīng)及時(shí)向本網(wǎng)站提出書面權(quán)利通知或不實(shí)情況說(shuō)明，并提供身份證明、權(quán)屬證明及詳細(xì)侵權(quán)或不實(shí)情況證明。本網(wǎng)站在收到上述法律文件后，將會(huì)依法盡快聯(lián)系相關(guān)文章源頭核實(shí)，溝通刪除相關(guān)內(nèi)容或斷開(kāi)相關(guān)鏈接。
