[color=#333333 !important]北京时间9月20日，杭州公安发布《杭州警方通报打击涉网违法犯罪暨‘净网2019’专项行动战果》一文，文章曝光了国内知名PHP调试环境程序集成包“PhpStudy软件”遭到黑客篡改并植入“后门”。截至案发，近百万PHP用户中超过67万用户已被黑客控制，并大肆盗取账号密码、聊天记录、设备码类等敏感数据多达10万多组，非法牟利600多万元。% ]: a6 y0 k6 D" A
[color=#333333 !important]面对如此性质恶劣的网络攻击事件，360安全大脑已独家完成了针对“PhpStudy后门”的修复支持，能够有效清除和修复该植入“后门”，第一时间守护用户的个人数据及财产安全，建议广大用户尽快前往https://dl.360safe.com/instbeta.exe下载安装最新版360安全卫士进行修复！
$ r1 r& P5 ?& B/ @[color=#333333 !important] 9 t1 `6 m; v" U9 b
案情破获：自2016年开始潜伏，累计67万电脑沦为“肉鸡”
' L. n1 u) d- Y1 u1 ~! D
8 B9 _* g( ]6 U( K[color=#333333 !important]PhpStudy软件对于国内众多开发者而言，并不陌生。它是一款免费的PHP调试环境的程序集成包，集成了最新的Apache、PHP、MySQL、phpMyAdmin、ZendOptimizer多款软件一次性安装，无需配置即可直接使用，具有PHP环境调试和PHP开发功能。因为免费公益、简易方便，现已发展到一定的规模，有着近百万PHP语言学习者、开发者用户。
/ _( Q. f" b# Y2 I4 y[color=#333333 !important]然而，如此绿色无公害的“国民”开发软件遭到了黑客的毒手，并且犯罪动机竟然出自黑客的技痒和虚荣心。据杭州公安披露，黑客组织早在2016年就编写了“后门”文件，并非法侵入了PhpStudy的官网，篡改了软件安装包植入“后门”。而该“后门”具有控制计算机的功能，可以远程控制下载运行脚本实现用户个人信息收集。
' s1 [( d. y# ]# \, g) a5 n[color=#333333 !important]从2016年起，黑客利用该“后门”犯罪作恶一发不可收拾，大量中招的电脑沦为“肉鸡”执行危险命令，不计其数的用户账号密码、电脑数据、敏感信息被远程抓取和回传。据统计，黑客已控制了超过67万台电脑，非法获取账号密码类、聊天数据类、设备码类等数据10万余组，而此案也是2019年以来，国内影响最为严重的供应链攻击事件。
. U1 {; C0 l+ s/ t雷霆行动：“后门”涉及多个版本，360安全大脑国内率先支持修复！9 y7 [. l# p% v* w! X9 @
$ b/ C. U0 {* p0 Z7 o[color=#333333 !important]值得注意的是，经360安全大脑的监测发现，被篡改的软件版本并不单单是官方通告的PhpStudy2016版本中的Php5.4版本，而是在PhpStudy 2016版和2018版两个版本中均同时被发现有“后门”文件的存在，并且影响部分使用PhpStudy搭建的Php5.2、Php5.3和Php5.4环境。虽然目前官方软件介绍页面中的下载链接已经失效，但在官网历史版本中仍能下载到。除了官网外，一些下载站提供的相同版本的PhpStudy也同样“不干净”。8 A! z5 K) I# X# B' j
[color=#333333 !important]360安全大脑的进一步深度溯源，确认绝大多数后门位于PhpStudy目录下的“php\php-5.4.45\ext\php_xmlrpc.dll”文件和“\php\php-5.2.17\ext\php_xmlrpc.dll”文件中，不过也有部分通过第三方下载站下载的PhpStudy后门位于“\php53\ext\php_xmlrpc.dll”文件中。通过查看字符串可以发现文件中出现了可疑的“eval”字符串。
2 S/ @' o- J& W+ \5 q$ y9 n2 D[color=#333333 !important]
5 V# R: T* u+ D0 U! ]5 G[color=#333333 !important]（php_xmlrpc.dll文件中可疑的“eval”字符串） 4 h5 M* m: q4 D. P7 R6 V: l6 {
[color=#333333 !important]“eval”字符串所在的这段代码通过PHP函数gzuncompress解压位于偏移0xd028到0xd66c处的shellcode并执行。
) v1 C6 a3 B/ G+ u[color=#333333 !important] 7 E+ e" K- x* |1 O0 H0 z9 d* a$ @8 }; R
[color=#333333 !important]（解压shellcode并执行）
7 U' O. j' P* P+ {) k; K[color=#333333 !important] * t T1 D* O* v3 r
[color=#333333 !important]（部分shellcode） 2 Z2 o6 o/ ^0 d M8 r1 ]
[color=#333333 !important]经过解压之后的shellcode如下图所示，shellcode中经过base64编码的内容即为最终的后门。 ^ [3 `" _- W
[color=#333333 !important] + f5 J7 v# X: w! i6 d: H |
[color=#333333 !important]（解压后的shellcode） * `" e4 c/ I$ p) ], y, P8 s2 F
[color=#333333 !important]最终的后门请求C&C地址360se.net，执行由C&C返回的内容，目前该地址已无法正常连接。; {! s# v, k e4 l* P
[color=#333333 !important] 
% p) q# h) q3 {7 C: a, i+ U[color=#333333 !important]（后门代码示意图） 2 f W' C8 }1 K' D* s3 A0 i
[color=#333333 !important]虽然在杭州网警专案组的行动下，已经分别在海南、四川、重庆、广东分别将马某、杨某、谭某、周某某等7名犯罪嫌疑人缉拿，不过经360安全大脑的关联分析，目前网络中仍然有超过1700个存在“后门”的php_xmlrpc.dll文件。/ S+ q! T- R* h4 R- C0 u2 a
[color=#333333 !important]这些通过修改常用软件底层源代码，秘密添加的“后门”，可以在用户无感知的状态下，非法获取用户隐私数据，严重侵害了人民群众的合法权益，甚至危害国家安全。而360安全大脑通过多种技术手段防御，可以第一时间感知此类恶意文件的态势进程，并独家推出了修复方案。同时，360安全大脑特别建议：
% q4 g! ] E! D6 J3 `9 Y. y[color=#333333 !important]1. 前往https://dl.360safe.com/instbeta.exe，尽快下载安装最新版360安全卫士，能有效清除并修复PhpStudy安装目录下的“后门”文件，全面保护个人信息及财产安全；# G/ K" s4 q- p/ h7 ~7 M' k% ]
[color=#333333 !important]2. 请及时修改服务器密码，其他使用相同注册邮箱和密码的网络帐户也应该一并修改，消除风险；/ u8 U9 j0 j+ E6 {+ N( B
[color=#333333 !important]3. 不要随意下载，接收和运行不明来源的文件，尽量到PhpStudy官网https://www.xp.cn/下载最新版PhpStudy安装包进行更新，以防中招。
+ y! |8 ^& \6 }) A 附录：部分IOCs( E7 `. Y) y1 ?
# a9 P% Z3 ~# C1 N- f
被篡改的php_xmlrpc.dll：' g5 ]4 H* z1 n' z, \. u
- g e; p: l8 {( ?( M[color=#333333 !important]c339482fd2b233fb0a555b629c0ea5d5
) B/ C/ O3 g( I( c9 P$ c[color=#333333 !important]0f7ad38e7a9857523dfbce4bce43a9e94 L8 v1 r9 W/ B+ B( j! ^0 C
[color=#333333 !important]8c9e30239ec3784bb26e58e8f4211ed0/ x6 L p2 Y9 }0 Q+ k5 b
[color=#333333 !important]e252e32a8873aabf33731e8eb90c08df, h: U1 t( e9 I0 j5 F# T
[color=#333333 !important]9916dc74b4e9eb076fa5fcf96e3b8a9c
% }. K. b# p0 K( _' b B; x[color=#333333 !important]f3bc871d021a5b29ecc7ec813ecec2445 Z: W' i9 U1 u! D% L0 }) L2 E
[color=#333333 !important]9756003495e3bb190bd4a8cde2c31f2e0 N" r4 g; ]4 I* ?) r, P% r1 S
[color=#333333 !important]d7444e467cb6dc287c791c0728708bfd
7 D" h1 n4 c3 F( |# p4 ^, l( J% X 2018版PhpStudy安装程序2 b9 }; G( d) ]) c
c6 M) K4 O, ]! y* k' |% @2 M+ E
[color=#333333 !important]md5: fc44101432b8c3a5140fcb18284d27976 i4 m$ @- \" r1 c9 D
2016版PhpStudy安装程序
# ?/ i) ^+ [, E' }
- |$ n9 a* e; k- T! d- P- _[color=#333333 !important]md5: a63ab7adb020a76f34b053db310be2e9$ ?& x4 t$ W5 [2 N6 W$ Q% V3 ^
[color=#333333 !important]md5：0d3c20d8789347a04640d440abe0729d
. ~( C4 Z |3 v! s( `/ t URL：
' y$ |" i" r! u) n" r, x
" q- ] r# x# _3 @1 S[color=#333333 !important]hxxp://public.xp.cn/upgrades/PhpStudy20180211.zip/ Q( V' N' f/ m8 \6 W
[color=#333333 !important]hxxps://www.xp.cn/phpstudy/phpStudy20161103.zip
1 n0 _5 X1 ?. |$ Y/ M7 h[color=#333333 !important]hxxps://www.xp.cn/phpstudy/PhpStudy20180211.zip
; w( B: S$ R | CC:
# ~5 }6 l4 ]5 d$ f
6 U" K5 k* \) P[color=#333333 !important]www.360se.net:20123
! p5 z; N3 V! m* f- }[color=#333333 !important]www.360se.net:40125 S `7 [1 X) k/ M4 j
[color=#333333 !important]www.360se.net:8080; i# p8 x8 o- r4 P
[color=#333333 !important]www.360se.net:80) H$ w! r' t* U
[color=#333333 !important]www.360se.net:53/ T' d. H7 D$ J2 q
[color=#333333 !important]bbs.360se.net:20123. K0 v! y) e' m# v+ W- }! @7 D
[color=#333333 !important]bbs.360se.net:40125
& M/ f' d; l- x+ g$ Y[color=#333333 !important]bbs.360se.net:80800 m$ ^, h. s# b
[color=#333333 !important]bbs.360se.net:80
/ y; ]; V7 j3 C Y[color=#333333 !important]bbs.360se.net:535 z; a7 g7 a$ N7 Y
[color=#333333 !important]cms.360se.net:20123
) J0 O; ~3 l) _ H/ k0 \[color=#333333 !important]cms.360se.net:401253 q, v8 V6 M( D1 p, j- o* o
[color=#333333 !important]cms.360se.net:8080
) n1 G, X4 V; r* B[color=#333333 !important]cms.360se.net:80! P) `$ n9 c% n
[color=#333333 !important]cms.360se.net:53
0 r# N" N: _6 j2 H[color=#333333 !important]down.360se.net:20123' N( |3 v" F6 W- n0 q( o( }+ ^2 q9 V
[color=#333333 !important]down.360se.net:40125# E. b, U$ v) `5 S. H" y
[color=#333333 !important]down.360se.net:8080$ u( u. ]4 k+ Y0 [$ s' ~' b8 d$ n
[color=#333333 !important]down.360se.net:80
, p) Z# R1 o( q. x& h6 I: [% y[color=#333333 !important]down.360se.net:534 V z# T( M$ X" _ [
[color=#333333 !important]up.360se.net:20123
, S8 E' q1 S+ S( \. ]3 g) B[color=#333333 !important]up.360se.net:40125
$ |3 p& k' y" @6 I1 z[color=#333333 !important]up.360se.net:8080+ F1 P R5 Z3 D- i, t& S( U. o
[color=#333333 !important]up.360se.net:80
/ Q7 E' q; C: z) @ _4 B+ i T[color=#333333 !important]up.360se.net:53- D+ Y# }" E1 O8 |+ X# x/ O
[color=#333333 !important]file.360se.net:20123* D( M- S2 ]9 z/ b
[color=#333333 !important]file.360se.net:40125
; h; g! d/ |' ~: M+ I[color=#333333 !important]file.360se.net:8080 m& V3 b" s9 N4 e2 T
[color=#333333 !important]file.360se.net:80
% U, c+ D; p1 W: k3 _7 a7 I# j[color=#333333 !important]file.360se.net:53+ b7 c! w1 d( \7 b& W( m' o/ g, `
[color=#333333 !important]ftp.360se.net:20123
' O7 z$ j: i" q; i; U* x$ T[color=#333333 !important]ftp.360se.net:40125
! v p% b! {, l0 i# x, o8 ~: p4 @7 q9 \[color=#333333 !important]ftp.360se.net:8080) k' g% s: ^* y: {# K3 \) v
[color=#333333 !important]ftp.360se.net:80
; G9 s0 c& }# y6 W[color=#333333 !important]ftp.360se.net:53
0 _( n- l; ]( h: ? c+ Y [color=#333333 !important]*本文作者：360安全，转载请注明来自FreeBuf.COM' S3 ^1 ] \: M! M; }
' v: f- j4 S2 P$ ~5 s
 ! ^: t K. e$ j" P
精彩推荐
* }1 P" J& o: J4 M P
2 U6 v: E$ {- E7 D
& l# v; p% X; u
# s9 `) m; @4 w
4 Q' N2 W% H4 W; e8 f% D1 |. I% D @( g7 w! h
+ v* F, z0 E0 q7 n来源：http://mp.weixin.qq.com/s?src=11×tamp=1569162604&ver=1868&signature=nMTEvbqQvp1yT2KzYm-TiJTh834tZs2cquMZedwwmkAjoRd0b4GlSLLA0CyDYH*E3CXlIGgh*A5XXU3V9LcSt3CgplJMA7qwe-XksgPh2-jrmhRO-NEJ7qLMJylYx1xE&new=1
9 T$ L1 u# ~+ I/ g免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！ | 
|手机版|小黑屋|梦想之都-俊月星空
( 粤ICP备18056059号 )|网站地图
发表于 2019-9-22 22:51:15
