[color=#333333 !important]北京时间9月20日，杭州公安发布《杭州警方通报打击涉网违法犯罪暨‘净网2019’专项行动战果》一文，文章曝光了国内知名PHP调试环境程序集成包“PhpStudy软件”遭到黑客篡改并植入“后门”。截至案发，近百万PHP用户中超过67万用户已被黑客控制，并大肆盗取账号密码、聊天记录、设备码类等敏感数据多达10万多组，非法牟利600多万元。+ F& V4 o$ B" Z1 b }1 q% i* F
[color=#333333 !important]面对如此性质恶劣的网络攻击事件，360安全大脑已独家完成了针对“PhpStudy后门”的修复支持，能够有效清除和修复该植入“后门”，第一时间守护用户的个人数据及财产安全，建议广大用户尽快前往https://dl.360safe.com/instbeta.exe下载安装最新版360安全卫士进行修复！
) Q& ^6 O8 D a: v( `: h& `4 N[color=#333333 !important]
* j& L! X- t% Z/ v2 r案情破获：自2016年开始潜伏，累计67万电脑沦为“肉鸡”
. J6 Z j, X! E2 n4 {
; \3 L: q4 k; k[color=#333333 !important]PhpStudy软件对于国内众多开发者而言，并不陌生。它是一款免费的PHP调试环境的程序集成包，集成了最新的Apache、PHP、MySQL、phpMyAdmin、ZendOptimizer多款软件一次性安装，无需配置即可直接使用，具有PHP环境调试和PHP开发功能。因为免费公益、简易方便，现已发展到一定的规模，有着近百万PHP语言学习者、开发者用户。
+ r' ~3 x' L. E3 z+ e[color=#333333 !important]然而，如此绿色无公害的“国民”开发软件遭到了黑客的毒手，并且犯罪动机竟然出自黑客的技痒和虚荣心。据杭州公安披露，黑客组织早在2016年就编写了“后门”文件，并非法侵入了PhpStudy的官网，篡改了软件安装包植入“后门”。而该“后门”具有控制计算机的功能，可以远程控制下载运行脚本实现用户个人信息收集。( c3 ] ~9 E" S) x' c! }# M
[color=#333333 !important]从2016年起，黑客利用该“后门”犯罪作恶一发不可收拾，大量中招的电脑沦为“肉鸡”执行危险命令，不计其数的用户账号密码、电脑数据、敏感信息被远程抓取和回传。据统计，黑客已控制了超过67万台电脑，非法获取账号密码类、聊天数据类、设备码类等数据10万余组，而此案也是2019年以来，国内影响最为严重的供应链攻击事件。2 | m2 K. i+ U' O
雷霆行动：“后门”涉及多个版本，360安全大脑国内率先支持修复！9 @& i1 H; C$ c
0 k- W9 @6 Z8 D7 l" z
[color=#333333 !important]值得注意的是，经360安全大脑的监测发现，被篡改的软件版本并不单单是官方通告的PhpStudy2016版本中的Php5.4版本，而是在PhpStudy 2016版和2018版两个版本中均同时被发现有“后门”文件的存在，并且影响部分使用PhpStudy搭建的Php5.2、Php5.3和Php5.4环境。虽然目前官方软件介绍页面中的下载链接已经失效，但在官网历史版本中仍能下载到。除了官网外，一些下载站提供的相同版本的PhpStudy也同样“不干净”。8 m9 w2 @; \) w) V0 U# G9 i$ ^+ }
[color=#333333 !important]360安全大脑的进一步深度溯源，确认绝大多数后门位于PhpStudy目录下的“php\php-5.4.45\ext\php_xmlrpc.dll”文件和“\php\php-5.2.17\ext\php_xmlrpc.dll”文件中，不过也有部分通过第三方下载站下载的PhpStudy后门位于“\php53\ext\php_xmlrpc.dll”文件中。通过查看字符串可以发现文件中出现了可疑的“eval”字符串。
9 n5 b6 N3 R- D# N+ l[color=#333333 !important] / d; d0 y' u/ B9 A" ?9 m8 \, y
[color=#333333 !important]（php_xmlrpc.dll文件中可疑的“eval”字符串） 1 r- `- J5 {9 t) R' e
[color=#333333 !important]“eval”字符串所在的这段代码通过PHP函数gzuncompress解压位于偏移0xd028到0xd66c处的shellcode并执行。
& [) M: Y1 A) B+ k j% D3 g[color=#333333 !important]
' w3 @( g/ H$ g& v) x[color=#333333 !important]（解压shellcode并执行） ( a- C1 m, M" v- S3 _$ r( O
[color=#333333 !important]
# S) p1 w. p2 A$ b% u[color=#333333 !important]（部分shellcode） & L; {- N# b* B# M& a8 |$ a, s
[color=#333333 !important]经过解压之后的shellcode如下图所示，shellcode中经过base64编码的内容即为最终的后门。; t, e6 u, y. ^! \
[color=#333333 !important]
% c2 c$ D$ z& e) g$ C[color=#333333 !important]（解压后的shellcode）
$ |, g+ D u# w+ O4 [+ _[color=#333333 !important]最终的后门请求C&C地址360se.net，执行由C&C返回的内容，目前该地址已无法正常连接。2 {5 t* a7 ?0 T7 ?
[color=#333333 !important] 
) Z# A: T3 M( j4 t+ l0 E[color=#333333 !important]（后门代码示意图） F/ _5 b5 g; h
[color=#333333 !important]虽然在杭州网警专案组的行动下，已经分别在海南、四川、重庆、广东分别将马某、杨某、谭某、周某某等7名犯罪嫌疑人缉拿，不过经360安全大脑的关联分析，目前网络中仍然有超过1700个存在“后门”的php_xmlrpc.dll文件。
* W8 {; c6 C9 S& A, l3 [[color=#333333 !important]这些通过修改常用软件底层源代码，秘密添加的“后门”，可以在用户无感知的状态下，非法获取用户隐私数据，严重侵害了人民群众的合法权益，甚至危害国家安全。而360安全大脑通过多种技术手段防御，可以第一时间感知此类恶意文件的态势进程，并独家推出了修复方案。同时，360安全大脑特别建议：
8 V+ I, ^' \0 u[color=#333333 !important]1. 前往https://dl.360safe.com/instbeta.exe，尽快下载安装最新版360安全卫士，能有效清除并修复PhpStudy安装目录下的“后门”文件，全面保护个人信息及财产安全；2 B& g8 h+ e& m9 D% l
[color=#333333 !important]2. 请及时修改服务器密码，其他使用相同注册邮箱和密码的网络帐户也应该一并修改，消除风险；
7 P5 ~: p; i- j- X0 |1 l[color=#333333 !important]3. 不要随意下载，接收和运行不明来源的文件，尽量到PhpStudy官网https://www.xp.cn/下载最新版PhpStudy安装包进行更新，以防中招。
; t; p/ l) x( n: h 附录：部分IOCs
7 J* E* V4 O8 \& T' [" |, [8 C7 g( M' o- X3 @* S
被篡改的php_xmlrpc.dll：
. t4 s8 M" x$ D$ J9 A% \0 e: @7 @/ `; t e+ o; o9 u
[color=#333333 !important]c339482fd2b233fb0a555b629c0ea5d5( i& c# y/ I( U4 X3 r$ M
[color=#333333 !important]0f7ad38e7a9857523dfbce4bce43a9e9
; s2 n) U0 q1 K8 h% _ y[color=#333333 !important]8c9e30239ec3784bb26e58e8f4211ed0
# O+ g& M. V4 W2 n& j[color=#333333 !important]e252e32a8873aabf33731e8eb90c08df
% [4 I0 G) P9 n/ ^8 u[color=#333333 !important]9916dc74b4e9eb076fa5fcf96e3b8a9c8 }- \9 E9 T: V" n1 `
[color=#333333 !important]f3bc871d021a5b29ecc7ec813ecec244
. S4 e* z4 I/ h1 y[color=#333333 !important]9756003495e3bb190bd4a8cde2c31f2e
& N; a( n }4 K5 h[color=#333333 !important]d7444e467cb6dc287c791c0728708bfd
7 f3 ~( t" m, T. B" k e+ ^ 2018版PhpStudy安装程序
: ~8 z3 x+ {0 r5 S2 S2 _
& I# w1 T {" U& N" T* h, V[color=#333333 !important]md5: fc44101432b8c3a5140fcb18284d2797! ?/ m. {3 E' p2 E
2016版PhpStudy安装程序8 H1 H; c8 F5 B3 u7 c1 L) h7 w6 g1 M
" D% ]$ R( }* f# _" u* p' W
[color=#333333 !important]md5: a63ab7adb020a76f34b053db310be2e9
4 ]! }! } _) T) H" ~, I; S[color=#333333 !important]md5：0d3c20d8789347a04640d440abe0729d
, L# p% r+ P! E# v) `! O URL：: U0 C3 L% c) l7 S
. a7 ~$ Z. Q( N' h# f# x" n6 y[color=#333333 !important]hxxp://public.xp.cn/upgrades/PhpStudy20180211.zip5 Y/ u! k S9 U# f" g% A; N% r
[color=#333333 !important]hxxps://www.xp.cn/phpstudy/phpStudy20161103.zip; o$ X4 g% e3 a/ C
[color=#333333 !important]hxxps://www.xp.cn/phpstudy/PhpStudy20180211.zip: V3 |- e" `5 v3 t, G
CC:% H1 Q; U- T; k/ ?/ D
8 q. M8 q9 ?6 O* }7 n3 {& a5 O
[color=#333333 !important]www.360se.net:201236 t* k1 c7 H( V
[color=#333333 !important]www.360se.net:40125' J0 I: T# s: x( |+ j0 [
[color=#333333 !important]www.360se.net:80804 v; x2 o% y) V1 l1 A9 [4 X
[color=#333333 !important]www.360se.net:80
1 K" d G K" `[color=#333333 !important]www.360se.net:53' K' {. v6 ?( T* m$ n
[color=#333333 !important]bbs.360se.net:20123
) F% \6 }! e& M[color=#333333 !important]bbs.360se.net:40125. n& ^, L: N5 p, g
[color=#333333 !important]bbs.360se.net:8080& g) R9 e9 _7 n3 j, a2 w F
[color=#333333 !important]bbs.360se.net:80, K$ z6 ^$ u" l
[color=#333333 !important]bbs.360se.net:53
+ v( d+ m; r. A9 t[color=#333333 !important]cms.360se.net:20123
( Q& E% C' T! ]; a+ s3 V[color=#333333 !important]cms.360se.net:401251 f" j% ]/ z4 I m' c* l
[color=#333333 !important]cms.360se.net:8080. Y- G9 x _4 s$ ^/ Y) c' B
[color=#333333 !important]cms.360se.net:80- R7 C* L) z6 W: z$ ^# [; W' j
[color=#333333 !important]cms.360se.net:53
2 O, |/ Q6 \, g1 S+ P) T" @ Z; E, k[color=#333333 !important]down.360se.net:20123
3 ?' d2 g* o; T- @- `( u: \[color=#333333 !important]down.360se.net:40125: H) ]* Q; j8 ] m- ], ]
[color=#333333 !important]down.360se.net:80805 ~3 ?' K) |" A
[color=#333333 !important]down.360se.net:80
; J( B! C3 p x" e9 `1 L[color=#333333 !important]down.360se.net:53
; y. n2 y4 E' }[color=#333333 !important]up.360se.net:20123( M ~! g e4 j- F" A: i
[color=#333333 !important]up.360se.net:40125
* Z( z0 f9 f% K; K[color=#333333 !important]up.360se.net:8080+ o# m0 v& x+ a, Z7 z
[color=#333333 !important]up.360se.net:806 A+ h! V$ I! ^1 [
[color=#333333 !important]up.360se.net:539 d3 W7 ]. L; T, J# G" a/ {5 W. \2 o! p
[color=#333333 !important]file.360se.net:20123
8 F, x" x, q6 [6 \' M[color=#333333 !important]file.360se.net:40125
9 W$ N% N) q& p[color=#333333 !important]file.360se.net:80805 s! f& i$ D% M) Z4 C
[color=#333333 !important]file.360se.net:80$ R& Q( s) z) F
[color=#333333 !important]file.360se.net:53
: R- B3 w. C. b" ?. t[color=#333333 !important]ftp.360se.net:20123) Z4 C/ W t/ _5 R0 {4 Q
[color=#333333 !important]ftp.360se.net:40125$ ^0 B% ~* s/ u8 _
[color=#333333 !important]ftp.360se.net:8080! l" Z2 x* l3 V, Q
[color=#333333 !important]ftp.360se.net:80
+ X& g0 [' o* E+ o1 y, R. W [[color=#333333 !important]ftp.360se.net:53. ~# {+ w& x. S8 b4 K9 D
[color=#333333 !important]*本文作者：360安全，转载请注明来自FreeBuf.COM
% |6 d& l$ t4 J# b, @
/ K+ D: `, O5 |3 p
6 z- I# w3 f7 E* r" g精彩推荐3 t2 l' p2 D; [
5 t. P/ i2 k- U5 V) l# p- T" S1 G. J9 ~
1 A( E4 e t: B: o* m4 ?1 }" u. o' c' x: Y% s" j( F' ?
# O* w I( Y4 C
3 P/ L' h- l: f t& x. c, I7 Y
来源：http://mp.weixin.qq.com/s?src=11×tamp=1569162604&ver=1868&signature=nMTEvbqQvp1yT2KzYm-TiJTh834tZs2cquMZedwwmkAjoRd0b4GlSLLA0CyDYH*E3CXlIGgh*A5XXU3V9LcSt3CgplJMA7qwe-XksgPh2-jrmhRO-NEJ7qLMJylYx1xE&new=1
: d, V9 N8 T$ _3 B7 A5 S4 ^0 g {免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！ |
|手机版|小黑屋|梦想之都-俊月星空
( 粤ICP备18056059号 )|网站地图
发表于 2019-9-22 22:51:15
