[color=#333333 !important]北京时间9月20日，杭州公安发布《杭州警方通报打击涉网违法犯罪暨‘净网2019’专项行动战果》一文，文章曝光了国内知名PHP调试环境程序集成包“PhpStudy软件”遭到黑客篡改并植入“后门”。截至案发，近百万PHP用户中超过67万用户已被黑客控制，并大肆盗取账号密码、聊天记录、设备码类等敏感数据多达10万多组，非法牟利600多万元。
) g& I/ `+ T$ y1 Z! x, t[color=#333333 !important]面对如此性质恶劣的网络攻击事件，360安全大脑已独家完成了针对“PhpStudy后门”的修复支持，能够有效清除和修复该植入“后门”，第一时间守护用户的个人数据及财产安全，建议广大用户尽快前往https://dl.360safe.com/instbeta.exe下载安装最新版360安全卫士进行修复！% D$ C3 S. r+ c: _9 W
[color=#333333 !important]
) b7 C& k1 n- \6 t( u+ [" X0 k案情破获：自2016年开始潜伏，累计67万电脑沦为“肉鸡”( O+ y' G/ \+ w) t0 x: E
4 _* t9 j8 t. P) _9 S( s[color=#333333 !important]PhpStudy软件对于国内众多开发者而言，并不陌生。它是一款免费的PHP调试环境的程序集成包，集成了最新的Apache、PHP、MySQL、phpMyAdmin、ZendOptimizer多款软件一次性安装，无需配置即可直接使用，具有PHP环境调试和PHP开发功能。因为免费公益、简易方便，现已发展到一定的规模，有着近百万PHP语言学习者、开发者用户。
; \3 E. r* K# G* Q4 \& ?' r1 B# `[color=#333333 !important]然而，如此绿色无公害的“国民”开发软件遭到了黑客的毒手，并且犯罪动机竟然出自黑客的技痒和虚荣心。据杭州公安披露，黑客组织早在2016年就编写了“后门”文件，并非法侵入了PhpStudy的官网，篡改了软件安装包植入“后门”。而该“后门”具有控制计算机的功能，可以远程控制下载运行脚本实现用户个人信息收集。
( G: }- _( w+ p% j: e: G[color=#333333 !important]从2016年起，黑客利用该“后门”犯罪作恶一发不可收拾，大量中招的电脑沦为“肉鸡”执行危险命令，不计其数的用户账号密码、电脑数据、敏感信息被远程抓取和回传。据统计，黑客已控制了超过67万台电脑，非法获取账号密码类、聊天数据类、设备码类等数据10万余组，而此案也是2019年以来，国内影响最为严重的供应链攻击事件。 Z7 S+ g8 z9 l$ S
雷霆行动：“后门”涉及多个版本，360安全大脑国内率先支持修复！
3 y7 O# ] ?5 e$ G( a. u7 n0 E5 Y
" N/ z5 \0 H+ s, p" B7 {$ A[color=#333333 !important]值得注意的是，经360安全大脑的监测发现，被篡改的软件版本并不单单是官方通告的PhpStudy2016版本中的Php5.4版本，而是在PhpStudy 2016版和2018版两个版本中均同时被发现有“后门”文件的存在，并且影响部分使用PhpStudy搭建的Php5.2、Php5.3和Php5.4环境。虽然目前官方软件介绍页面中的下载链接已经失效，但在官网历史版本中仍能下载到。除了官网外，一些下载站提供的相同版本的PhpStudy也同样“不干净”。
Z* Y( H2 }. Y1 }5 r" n$ [[color=#333333 !important]360安全大脑的进一步深度溯源，确认绝大多数后门位于PhpStudy目录下的“php\php-5.4.45\ext\php_xmlrpc.dll”文件和“\php\php-5.2.17\ext\php_xmlrpc.dll”文件中，不过也有部分通过第三方下载站下载的PhpStudy后门位于“\php53\ext\php_xmlrpc.dll”文件中。通过查看字符串可以发现文件中出现了可疑的“eval”字符串。
' M$ L' h# W1 P4 Q, S* v[color=#333333 !important]
" C6 t. m8 r$ H+ R9 v# b Y[color=#333333 !important]（php_xmlrpc.dll文件中可疑的“eval”字符串）
( ~( T' d% q/ Q[color=#333333 !important]“eval”字符串所在的这段代码通过PHP函数gzuncompress解压位于偏移0xd028到0xd66c处的shellcode并执行。6 V" O6 E$ x) c
[color=#333333 !important]
) y! p7 ^" @6 i" W9 T/ C[color=#333333 !important]（解压shellcode并执行）
* }. f1 z7 X$ D; }2 I, U[color=#333333 !important]
1 k3 G8 }+ y& v2 K( B) Q% a[color=#333333 !important]（部分shellcode）
, @4 m9 u& G' ^- V* l0 I; K2 X[color=#333333 !important]经过解压之后的shellcode如下图所示，shellcode中经过base64编码的内容即为最终的后门。& V7 W& h+ V4 q2 A! i. r" n
[color=#333333 !important] ; I/ c2 H9 D! b
[color=#333333 !important]（解压后的shellcode） 5 D5 b& x" t5 _( q$ P. h
[color=#333333 !important]最终的后门请求C&C地址360se.net，执行由C&C返回的内容，目前该地址已无法正常连接。
, t4 c3 Z2 m# f! o[color=#333333 !important] 
3 o- e5 n5 T4 _4 A$ [3 y Q[color=#333333 !important]（后门代码示意图） + T ?5 C& i# q% R6 \3 G
[color=#333333 !important]虽然在杭州网警专案组的行动下，已经分别在海南、四川、重庆、广东分别将马某、杨某、谭某、周某某等7名犯罪嫌疑人缉拿，不过经360安全大脑的关联分析，目前网络中仍然有超过1700个存在“后门”的php_xmlrpc.dll文件。
. L+ e& m8 [8 {3 v[color=#333333 !important]这些通过修改常用软件底层源代码，秘密添加的“后门”，可以在用户无感知的状态下，非法获取用户隐私数据，严重侵害了人民群众的合法权益，甚至危害国家安全。而360安全大脑通过多种技术手段防御，可以第一时间感知此类恶意文件的态势进程，并独家推出了修复方案。同时，360安全大脑特别建议：( Z- N8 @9 u# f2 C9 }! ^* z
[color=#333333 !important]1. 前往https://dl.360safe.com/instbeta.exe，尽快下载安装最新版360安全卫士，能有效清除并修复PhpStudy安装目录下的“后门”文件，全面保护个人信息及财产安全；
; |" G' @# }8 i0 r3 B[color=#333333 !important]2. 请及时修改服务器密码，其他使用相同注册邮箱和密码的网络帐户也应该一并修改，消除风险；$ {& B# y' U& N9 ^1 u' H7 P
[color=#333333 !important]3. 不要随意下载，接收和运行不明来源的文件，尽量到PhpStudy官网https://www.xp.cn/下载最新版PhpStudy安装包进行更新，以防中招。
! ?! c& _, R- V; m0 \ 附录：部分IOCs
8 j. T& h/ b% w9 Q0 l" q
5 m |# {, x2 x1 A7 }被篡改的php_xmlrpc.dll：
2 Z' a3 P* ] W; n1 [- l3 R9 A
; q* j0 @* P( P$ g; t" x0 V$ ^[color=#333333 !important]c339482fd2b233fb0a555b629c0ea5d5$ l9 ]6 ]# o$ \6 ?/ P3 r
[color=#333333 !important]0f7ad38e7a9857523dfbce4bce43a9e9
+ a O3 z, \) \& |" V' w2 ][color=#333333 !important]8c9e30239ec3784bb26e58e8f4211ed05 u% a6 ]0 _* L# n5 w1 ]# X
[color=#333333 !important]e252e32a8873aabf33731e8eb90c08df( n) D$ L5 E: _3 W( n- ?
[color=#333333 !important]9916dc74b4e9eb076fa5fcf96e3b8a9c- N! Q, p' y. T9 e
[color=#333333 !important]f3bc871d021a5b29ecc7ec813ecec244
* B" q/ ?( d9 m* H[color=#333333 !important]9756003495e3bb190bd4a8cde2c31f2e; Z6 H0 Q! x6 s# w. T
[color=#333333 !important]d7444e467cb6dc287c791c0728708bfd, z3 x7 P7 X- h" N9 D/ |
2018版PhpStudy安装程序0 p1 Z8 c: Y# I5 }: }6 f
! @8 W7 h( U" N" v4 R4 }
[color=#333333 !important]md5: fc44101432b8c3a5140fcb18284d2797
% h( A) F. N0 O& L" b 2016版PhpStudy安装程序
: }3 Q, @; p/ R- E1 @2 V% p9 Y$ O, k( f8 ~, n
[color=#333333 !important]md5: a63ab7adb020a76f34b053db310be2e9
6 O- ~! J s% s[color=#333333 !important]md5：0d3c20d8789347a04640d440abe0729d
) W' e1 }3 E T2 ~1 x+ F$ c, L$ i URL：" o- m6 {+ {5 l
: Q) v3 z$ s5 s" Z+ K) P[color=#333333 !important]hxxp://public.xp.cn/upgrades/PhpStudy20180211.zip, ?( k; @* ?: R" R
[color=#333333 !important]hxxps://www.xp.cn/phpstudy/phpStudy20161103.zip$ y% O6 R' G% [
[color=#333333 !important]hxxps://www.xp.cn/phpstudy/PhpStudy20180211.zip
# H5 A, D2 Y; w CC:5 U8 ` U* f0 p7 x. m
- Y$ K( [! }7 C& G# u9 K/ x[color=#333333 !important]www.360se.net:20123
1 F D' C& P0 A+ K9 j7 Z. F# |[color=#333333 !important]www.360se.net:40125
$ ]8 Y/ H$ A9 K" L6 e[color=#333333 !important]www.360se.net:80809 R V F( k: @1 s
[color=#333333 !important]www.360se.net:80
- ]! L/ M0 C y( m$ H& k[color=#333333 !important]www.360se.net:53. c4 ?, p; I: }2 d
[color=#333333 !important]bbs.360se.net:201238 J y2 P& s/ B
[color=#333333 !important]bbs.360se.net:40125" z" q7 y9 J. A# m! f7 K; q5 V
[color=#333333 !important]bbs.360se.net:8080& i$ @9 w: e( y g5 B6 v; z" x
[color=#333333 !important]bbs.360se.net:80
7 x8 ?" L" R& F( z[color=#333333 !important]bbs.360se.net:533 K7 e' l) f8 o/ k1 s8 }
[color=#333333 !important]cms.360se.net:201230 d, y; F) I& L; F& A2 Y' C
[color=#333333 !important]cms.360se.net:40125
$ ~4 l7 ?7 P( i W. e' Y3 P[color=#333333 !important]cms.360se.net:8080. K( \& @1 ]* R( q8 W" D) z k
[color=#333333 !important]cms.360se.net:809 I/ ]: _$ t; G, S' b% n
[color=#333333 !important]cms.360se.net:53( [5 X1 M. t2 ?7 P
[color=#333333 !important]down.360se.net:20123
4 o9 x* I5 H- k L" r[color=#333333 !important]down.360se.net:40125
8 n& k* Z+ S$ U: c$ W9 E[color=#333333 !important]down.360se.net:8080
. Z6 ~; {6 \/ i3 ?[color=#333333 !important]down.360se.net:80/ f3 n5 `8 q# q6 F4 G& {
[color=#333333 !important]down.360se.net:539 L3 C/ X1 Y( `' [) l! X H
[color=#333333 !important]up.360se.net:20123
5 S5 s. ]; O( y[color=#333333 !important]up.360se.net:40125( H" {2 T b6 i5 N9 s0 b
[color=#333333 !important]up.360se.net:8080
4 {4 x$ `5 t9 c& k7 S+ x4 R0 e2 x[color=#333333 !important]up.360se.net:80
" `- c3 g; I+ k8 [[color=#333333 !important]up.360se.net:53$ J0 r, Z" I9 _
[color=#333333 !important]file.360se.net:20123
% Z" t$ a% d" \7 J[color=#333333 !important]file.360se.net:40125 U5 k n! e. O3 I1 b3 u; u( j
[color=#333333 !important]file.360se.net:8080& v* p) A" T/ E, B, U R
[color=#333333 !important]file.360se.net:80
5 V# ]% e- v# R5 O$ D3 l$ y[color=#333333 !important]file.360se.net:539 a( M9 U' v I
[color=#333333 !important]ftp.360se.net:20123( K5 e$ K7 y+ ]5 J2 M
[color=#333333 !important]ftp.360se.net:401255 Y3 }: [1 |/ t7 k& p% h' P
[color=#333333 !important]ftp.360se.net:8080
- C8 c( N! T) I1 k! z$ r[color=#333333 !important]ftp.360se.net:80" M' }$ V" X, s$ J
[color=#333333 !important]ftp.360se.net:53& K8 K+ K4 D8 q; V+ M
[color=#333333 !important]*本文作者：360安全，转载请注明来自FreeBuf.COM# x+ l' K; h. _5 h+ l, o
& g- d: j9 \+ d3 g" h# l
 - Q0 G) q" c* D0 `. h
精彩推荐, N+ `6 {; L' {, T1 I3 I& c/ j
 7 z2 n8 u R5 ~; \
1 O; ~% m9 k! u% x6 Z: T
2 U# Y: h. h" k" k
' U0 P5 c0 I5 l) }& b
: K5 G: o/ F2 N3 K9 U
" A1 v" P8 }0 P% `3 }* O来源：http://mp.weixin.qq.com/s?src=11×tamp=1569162604&ver=1868&signature=nMTEvbqQvp1yT2KzYm-TiJTh834tZs2cquMZedwwmkAjoRd0b4GlSLLA0CyDYH*E3CXlIGgh*A5XXU3V9LcSt3CgplJMA7qwe-XksgPh2-jrmhRO-NEJ7qLMJylYx1xE&new=18 _! A1 G0 E$ o0 X
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！ | 
|手机版|小黑屋|梦想之都-俊月星空
( 粤ICP备18056059号 )|网站地图
发表于 2019-9-22 22:51:15
