[color=#333333 !important]北京时间9月20日，杭州公安发布《杭州警方通报打击涉网违法犯罪暨‘净网2019’专项行动战果》一文，文章曝光了国内知名PHP调试环境程序集成包“PhpStudy软件”遭到黑客篡改并植入“后门”。截至案发，近百万PHP用户中超过67万用户已被黑客控制，并大肆盗取账号密码、聊天记录、设备码类等敏感数据多达10万多组，非法牟利600多万元。
5 I0 t3 J& @/ E3 V% t/ C' u[color=#333333 !important]面对如此性质恶劣的网络攻击事件，360安全大脑已独家完成了针对“PhpStudy后门”的修复支持，能够有效清除和修复该植入“后门”，第一时间守护用户的个人数据及财产安全，建议广大用户尽快前往https://dl.360safe.com/instbeta.exe下载安装最新版360安全卫士进行修复！
8 Q3 K7 p$ q5 D[color=#333333 !important]
" B! m6 q+ Z( ]& w, D8 D1 a5 r7 t* ]案情破获：自2016年开始潜伏，累计67万电脑沦为“肉鸡”, u* z8 \4 C) b' o! y z' I- q
1 E6 b8 V( Z: m0 {6 r1 `+ y[color=#333333 !important]PhpStudy软件对于国内众多开发者而言，并不陌生。它是一款免费的PHP调试环境的程序集成包，集成了最新的Apache、PHP、MySQL、phpMyAdmin、ZendOptimizer多款软件一次性安装，无需配置即可直接使用，具有PHP环境调试和PHP开发功能。因为免费公益、简易方便，现已发展到一定的规模，有着近百万PHP语言学习者、开发者用户。1 f |& Y1 h& u T9 B# M2 a
[color=#333333 !important]然而，如此绿色无公害的“国民”开发软件遭到了黑客的毒手，并且犯罪动机竟然出自黑客的技痒和虚荣心。据杭州公安披露，黑客组织早在2016年就编写了“后门”文件，并非法侵入了PhpStudy的官网，篡改了软件安装包植入“后门”。而该“后门”具有控制计算机的功能，可以远程控制下载运行脚本实现用户个人信息收集。' D- F2 U W+ Q) d+ J0 Z" f3 D
[color=#333333 !important]从2016年起，黑客利用该“后门”犯罪作恶一发不可收拾，大量中招的电脑沦为“肉鸡”执行危险命令，不计其数的用户账号密码、电脑数据、敏感信息被远程抓取和回传。据统计，黑客已控制了超过67万台电脑，非法获取账号密码类、聊天数据类、设备码类等数据10万余组，而此案也是2019年以来，国内影响最为严重的供应链攻击事件。5 E( K- K+ ~4 h/ B, V
雷霆行动：“后门”涉及多个版本，360安全大脑国内率先支持修复！! o0 [3 [0 I; L$ Y
' R! ?( A1 N) Z- ^7 h0 M
[color=#333333 !important]值得注意的是，经360安全大脑的监测发现，被篡改的软件版本并不单单是官方通告的PhpStudy2016版本中的Php5.4版本，而是在PhpStudy 2016版和2018版两个版本中均同时被发现有“后门”文件的存在，并且影响部分使用PhpStudy搭建的Php5.2、Php5.3和Php5.4环境。虽然目前官方软件介绍页面中的下载链接已经失效，但在官网历史版本中仍能下载到。除了官网外，一些下载站提供的相同版本的PhpStudy也同样“不干净”。
% \3 f% @" s; V: [[color=#333333 !important]360安全大脑的进一步深度溯源，确认绝大多数后门位于PhpStudy目录下的“php\php-5.4.45\ext\php_xmlrpc.dll”文件和“\php\php-5.2.17\ext\php_xmlrpc.dll”文件中，不过也有部分通过第三方下载站下载的PhpStudy后门位于“\php53\ext\php_xmlrpc.dll”文件中。通过查看字符串可以发现文件中出现了可疑的“eval”字符串。
. H! H+ T4 i- `; @6 H, X[color=#333333 !important] ! M3 K+ v" {. e1 Y$ n
[color=#333333 !important]（php_xmlrpc.dll文件中可疑的“eval”字符串） . b0 i% e; X, p3 Z! C5 m
[color=#333333 !important]“eval”字符串所在的这段代码通过PHP函数gzuncompress解压位于偏移0xd028到0xd66c处的shellcode并执行。
+ j, A( e5 l4 l$ ?* o6 ]+ F[color=#333333 !important]
$ `5 B4 ]" `: g- {[color=#333333 !important]（解压shellcode并执行） % }! Y8 Q) P( g, l3 ?- o# f5 ]* m
[color=#333333 !important] ' b) A2 r$ x" H5 k8 f( N& H% [* _
[color=#333333 !important]（部分shellcode）
- u5 N& b& Y/ }: \[color=#333333 !important]经过解压之后的shellcode如下图所示，shellcode中经过base64编码的内容即为最终的后门。 `1 P( j5 }+ A" o
[color=#333333 !important]
: B4 z! I( m$ h[color=#333333 !important]（解压后的shellcode） , @* v+ f5 r0 c1 Q
[color=#333333 !important]最终的后门请求C&C地址360se.net，执行由C&C返回的内容，目前该地址已无法正常连接。
O& @% ^9 x6 `2 }7 \[color=#333333 !important] 
( u! d/ Z H" c2 K; l/ A[color=#333333 !important]（后门代码示意图） : G( z1 d5 [0 {; J, l, T+ p
[color=#333333 !important]虽然在杭州网警专案组的行动下，已经分别在海南、四川、重庆、广东分别将马某、杨某、谭某、周某某等7名犯罪嫌疑人缉拿，不过经360安全大脑的关联分析，目前网络中仍然有超过1700个存在“后门”的php_xmlrpc.dll文件。
( H# A8 n' z+ d! S[color=#333333 !important]这些通过修改常用软件底层源代码，秘密添加的“后门”，可以在用户无感知的状态下，非法获取用户隐私数据，严重侵害了人民群众的合法权益，甚至危害国家安全。而360安全大脑通过多种技术手段防御，可以第一时间感知此类恶意文件的态势进程，并独家推出了修复方案。同时，360安全大脑特别建议：
4 o! Q. {; s4 ^: H7 x$ _[color=#333333 !important]1. 前往https://dl.360safe.com/instbeta.exe，尽快下载安装最新版360安全卫士，能有效清除并修复PhpStudy安装目录下的“后门”文件，全面保护个人信息及财产安全；
3 r* m, O# H3 t% M[color=#333333 !important]2. 请及时修改服务器密码，其他使用相同注册邮箱和密码的网络帐户也应该一并修改，消除风险；9 O% C4 \$ i3 ?
[color=#333333 !important]3. 不要随意下载，接收和运行不明来源的文件，尽量到PhpStudy官网https://www.xp.cn/下载最新版PhpStudy安装包进行更新，以防中招。
, ~2 z. o/ |& A$ M1 |0 J g 附录：部分IOCs, r# k( {+ e) ~. x+ @
$ F! q1 j `6 \5 p4 Q1 }4 N* X被篡改的php_xmlrpc.dll：; U) d$ i- ]% M) l3 A* x! e
+ p! i1 u4 |6 C) g' R& {% A" P
[color=#333333 !important]c339482fd2b233fb0a555b629c0ea5d55 o! x3 n( D$ L$ h& E
[color=#333333 !important]0f7ad38e7a9857523dfbce4bce43a9e9
$ @, M/ ]( F! W8 P9 s* H4 U[color=#333333 !important]8c9e30239ec3784bb26e58e8f4211ed0$ |: H% N* T6 q) R3 f# F
[color=#333333 !important]e252e32a8873aabf33731e8eb90c08df) W' P. e+ }8 B( n% h" c/ Y+ C# I, Y5 }
[color=#333333 !important]9916dc74b4e9eb076fa5fcf96e3b8a9c
- r7 P" [+ R+ g; q3 R/ p c/ l! J7 g1 X[color=#333333 !important]f3bc871d021a5b29ecc7ec813ecec244* x+ E2 M% u2 p: _: h
[color=#333333 !important]9756003495e3bb190bd4a8cde2c31f2e8 b: X2 a4 M( D5 P* D4 U( x9 C
[color=#333333 !important]d7444e467cb6dc287c791c0728708bfd! x$ k6 d: |/ p5 g/ g
2018版PhpStudy安装程序$ y& B6 e6 n6 ^* H
& b5 z5 G0 n! x2 x$ B4 R* K
[color=#333333 !important]md5: fc44101432b8c3a5140fcb18284d2797' x3 x% R+ z& t8 w
2016版PhpStudy安装程序7 l% ?% O; J+ J* X0 k% v. {
. O" Q; o& ]* Y+ i: U, V
[color=#333333 !important]md5: a63ab7adb020a76f34b053db310be2e91 W, p# Q/ V7 d1 n* V0 G
[color=#333333 !important]md5：0d3c20d8789347a04640d440abe0729d
0 b7 v) b4 _& S& C1 \ URL：* e- ^, T) F/ _: u/ h% |0 G
) I: o5 ]" {/ d7 _
[color=#333333 !important]hxxp://public.xp.cn/upgrades/PhpStudy20180211.zip; x7 r3 f: v& D- p3 t- l' B
[color=#333333 !important]hxxps://www.xp.cn/phpstudy/phpStudy20161103.zip6 j2 x* K6 K3 b* F8 h
[color=#333333 !important]hxxps://www.xp.cn/phpstudy/PhpStudy20180211.zip
" c0 p. M* _3 j6 i- U CC:# p" z+ H3 D* U
. @+ B: {, ^/ h
[color=#333333 !important]www.360se.net:201234 u) I: o0 G1 q! t# K$ M% J
[color=#333333 !important]www.360se.net:40125: E, W3 Y/ D, z! T# c
[color=#333333 !important]www.360se.net:8080
4 ~" N1 l, }; Y6 x0 X[color=#333333 !important]www.360se.net:80! W6 N# [% H9 I! _" ]- L" I( l$ @. a
[color=#333333 !important]www.360se.net:537 l2 o0 l( U5 N: T, b1 \
[color=#333333 !important]bbs.360se.net:20123
) e% d" J- z8 _: L9 a; |[color=#333333 !important]bbs.360se.net:40125
# U' `2 ?+ G, ][color=#333333 !important]bbs.360se.net:8080$ k0 Q" K; \, u) `
[color=#333333 !important]bbs.360se.net:80
0 F" p* c8 i$ E4 a[color=#333333 !important]bbs.360se.net:53
$ j4 J0 R0 \6 G' k# @" t5 B[color=#333333 !important]cms.360se.net:20123
0 N z+ g: q+ t8 w) T[color=#333333 !important]cms.360se.net:40125
) M/ Q6 k; N% W7 a# g[color=#333333 !important]cms.360se.net:8080
! z P) h" B! G% F1 B o# s[color=#333333 !important]cms.360se.net:807 `" G- F' l: k9 K
[color=#333333 !important]cms.360se.net:53; S4 E" ~) d5 g. M* M( V
[color=#333333 !important]down.360se.net:201238 F6 h' }# t7 @7 W, K
[color=#333333 !important]down.360se.net:40125
+ D8 H$ |$ |3 G8 v E; F[color=#333333 !important]down.360se.net:8080: k7 c# n4 V2 d, @; V% @. b
[color=#333333 !important]down.360se.net:80
5 D7 Q1 |& n9 ^: R- |- l4 _( m4 Q[color=#333333 !important]down.360se.net:53
8 I6 i: M7 j# K! S[color=#333333 !important]up.360se.net:20123
0 L4 e& ?) X7 ]" S, t[color=#333333 !important]up.360se.net:40125
1 H: j/ C( y# o9 a5 s[color=#333333 !important]up.360se.net:8080
" p& ~7 O# g. S3 u[color=#333333 !important]up.360se.net:80
; A( C6 f: M X( ?( |9 |" y) L[color=#333333 !important]up.360se.net:53) ]9 [+ V# D$ o
[color=#333333 !important]file.360se.net:20123' F2 M8 {$ @1 q5 Z- N3 ?8 g
[color=#333333 !important]file.360se.net:40125
; r' M$ Z% t! w5 h& L[color=#333333 !important]file.360se.net:8080
& V9 J' w: @" a6 N5 D4 _[color=#333333 !important]file.360se.net:80+ {& O# E- S% N& F5 W( v5 D: `
[color=#333333 !important]file.360se.net:53) L" m, T8 w4 N; g
[color=#333333 !important]ftp.360se.net:20123# O5 @( P% U* h- E X5 J
[color=#333333 !important]ftp.360se.net:40125; J" _& P) }4 Z2 ]+ N2 a
[color=#333333 !important]ftp.360se.net:8080
# g: G$ {0 A6 v/ K! c* Z9 }[color=#333333 !important]ftp.360se.net:80! i+ W- f1 d2 [
[color=#333333 !important]ftp.360se.net:53
' M# z) ?# C% {$ {2 c* C [color=#333333 !important]*本文作者：360安全，转载请注明来自FreeBuf.COM
% o' m2 Z) h' P6 j: E2 V/ b" G9 f5 P1 O* m
: m) |( }$ f9 S0 L* U9 @7 o0 r精彩推荐/ ]# Q& D3 ^; x* [0 i% h3 u
7 b( f/ P( I1 ^) m$ M6 m
( T- _% M) A, y* k8 }; A, v; t( F, n
0 F8 U- W) E+ d! W3 S: G" |
: B6 B2 u1 B' Y& e+ ? q- @! [: O( x7 D$ [
来源：http://mp.weixin.qq.com/s?src=11×tamp=1569162604&ver=1868&signature=nMTEvbqQvp1yT2KzYm-TiJTh834tZs2cquMZedwwmkAjoRd0b4GlSLLA0CyDYH*E3CXlIGgh*A5XXU3V9LcSt3CgplJMA7qwe-XksgPh2-jrmhRO-NEJ7qLMJylYx1xE&new=1& s$ R! z6 {! a$ ~
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！ |
|手机版|小黑屋|梦想之都-俊月星空
( 粤ICP备18056059号 )|网站地图
发表于 2019-9-22 22:51:15
