搜索

[14618] 2019-09-22_数十万PhpStudy用户被植入后门，快来检测你是否已沦为“肉鸡”！

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2019-09-22_数十万PhpStudy用户被植入后门，快来检测你是否已沦为“肉鸡”！ 数 十 万 P h p S t u d y 用 户 被 植 入 后 门 ， 快 来 检 测 你 是 否 已 沦 为 “ 肉 鸡 ” ！ 3 6 0 安 全   F r e e B u f   2 0 1 9 - 0 9 - 2 2 北 京 时 间 北 京 时 间 9 月 月 2 0 日 ， 杭 州 公 安 发 布 《 杭 州 警 方 通 报 打 击 涉 网 违 法 犯 罪 暨 日 ， 杭 州 公 安 发 布 《 杭 州 警 方 通 报 打 击 涉 网 违 法 犯 罪 暨 ‘ 净 网 净 网 2 0 1 9 ’ 专 项 行 动 战 果 》 一 文 ， 文 章 曝 专 项 行 动 战 果 》 一 文 ， 文 章 曝 光 了 国 内 知 名 光 了 国 内 知 名 P H P 调 试 环 境 程 序 集 成 包 调 试 环 境 程 序 集 成 包 “ P h p S t u d y 软 件 软 件 ” 遭 到 黑 客 篡 改 并 植 入 遭 到 黑 客 篡 改 并 植 入 “ 后 门 后 门 ” 。 截 至 案 发 ， 近 百 万 。 截 至 案 发 ， 近 百 万 P H P 用 用 户 中 超 过 户 中 超 过 6 7 万 用 户 已 被 黑 客 控 制 ， 并 大 肆 盗 取 账 号 密 码 、 聊 天 记 录 、 设 备 码 类 等 敏 感 数 据 多 达 万 用 户 已 被 黑 客 控 制 ， 并 大 肆 盗 取 账 号 密 码 、 聊 天 记 录 、 设 备 码 类 等 敏 感 数 据 多 达 1 0 万 多 组 ， 非 法 万 多 组 ， 非 法 牟 利 牟 利 6 0 0 多 万 元 。 多 万 元 。 面 对 如 此 性 质 恶 劣 的 网 络 攻 击 事 件 ， 3 6 0 安 全 大 脑 已 独 家 完 成 了 针 对 “ P h p S t u d y 后 门 ” 的 修 复 支 持 ， 能 够 有 效 清 除 和 修 复 该 植 入 “ 后 门 ” ， 第 一 时 间 守 护 用 户 的 个 人 数 据 及 财 产 安 全 ， 建 议 广 大 用 户 尽 快 前 往 h t t p s : / / d l . 3 6 0 s a f e . c o m / i n s t b e t a . e x e 下 载 安 装 最 新 版 3 6 0 安 全 卫 士 进 行 修 复 ！ 案 情 破 获 ： 自 案 情 破 获 ： 自 2 0 1 6 年 开 始 潜 伏 ， 累 计 年 开 始 潜 伏 ， 累 计 6 7 万 电 脑 沦 为 万 电 脑 沦 为 “ 肉 鸡 肉 鸡 ” P h p S t u d y 软 件 对 于 国 内 众 多 开 发 者 而 言 ， 并 不 陌 生 。 它 是 一 款 免 费 的 P H P 调 试 环 境 的 程 序 集 成 包 ， 集 成 了 最 新 的 A p a c h e 、 P H P 、 M y S Q L 、 p h p M y A d m i n 、 Z e n d O p t i m i z e r 多 款 软 件 一 次 性 安 装 ， 无 需 配 置 即 可 直 接 使 用 ， 具 有 P H P 环 境 调 试 和 P H P 开 发 功 能 。 因 为 免 费 公 益 、 简 易 方 便 ， 现 已 发 展 到 一 定 的 规 模 ， 有 着 近 百 万 P H P 语 言 学 习 者 、 开 发 者 用 户 。 然 而 ， 如 此 绿 色 无 公 害 的 “ 国 民 ” 开 发 软 件 遭 到 了 黑 客 的 毒 手 ， 并 且 犯 罪 动 机 竟 然 出 自 黑 客 的 技 痒 和 虚 荣 心 。 据 杭 州 公 安 披 露 ， 黑 客 组 织 早 在 2 0 1 6 年 就 编 写 了 “ 后 门 ” 文 件 ， 并 非 法 侵 入 了 P h p S t u d y 的 官 网 ， 篡 改 了 软 件 安 装 包 植 入 “ 后 门 ” 。 而 该 “ 后 门 ” 具 有 控 制 计 算 机 的 功 能 ， 可 以 远 程 控 制 下 载 运 行 脚 本 实 现 用 户 个 人 信 息 收 集 。 从 2 0 1 6 年 起 ， 黑 客 利 用 该 “ 后 门 ” 犯 罪 作 恶 一 发 不 可 收 拾 ， 大 量 中 招 的 电 脑 沦 为 “ 肉 鸡 ” 执 行 危 险 命 令 ， 不 计 其 数 的 用 户 账 号 密 码 、 电 脑 数 据 、 敏 感 信 息 被 远 程 抓 取 和 回 传 。 据 统 计 ， 黑 客 已 控 制 了 超 过 6 7 万 台 电 脑 ， 非 法 获 取 账 号 密 码 类 、 聊 天 数 据 类 、 设 备 码 类 等 数 据 1 0 万 余 组 ， 而 此 案 也 是 2 0 1 9 年 以 来 ， 国 内 影 响 最 为 严 重 的 供 应 链 攻 击 事 件 。 雷 霆 行 动 ： 雷 霆 行 动 ： “ 后 门 后 门 ” 涉 及 多 个 版 本 ， 涉 及 多 个 版 本 ， 3 6 0 安 全 大 脑 国 内 率 先 支 持 修 复 ！ 安 全 大 脑 国 内 率 先 支 持 修 复 ！ 值 得 注 意 的 是 ， 经 3 6 0 安 全 大 脑 的 监 测 发 现 ， 被 篡 改 的 软 件 版 本 并 不 单 单 是 官 方 通 告 的 P h p S t u d y 2 0 1 6 版 本 中 的 P h p 5 . 4 版
本 ， 而 是 在 P h p S t u d y   2 0 1 6 版 和 2 0 1 8 版 两 个 版 本 中 均 同 时 被 发 现 有 “ 后 门 ” 文 件 的 存 在 ， 并 且 影 响 部 分 使 用 P h p S t u d y 搭 建 的 P h p 5 . 2 、 P h p 5 . 3 和 P h p 5 . 4 环 境 。 虽 然 目 前 官 方 软 件 介 绍 页 面 中 的 下 载 链 接 已 经 失 效 ， 但 在 官 网 历 史 版 本 中 仍 能 下 载 到 。 除 了 官 网 外 ， 一 些 下 载 站 提 供 的 相 同 版 本 的 P h p S t u d y 也 同 样 “ 不 干 净 ” 。 3 6 0 安 全 大 脑 的 进 一 步 深 度 溯 源 ， 确 认 绝 大 多 数 后 门 位 于 P h p S t u d y 目 录 下 的 “ p h p p h p - 5 . 4 . 4 5 e x t p h p _ x m l r p c . d l l ” 文 件 和 “ p h p p h p - 5 . 2 . 1 7 e x t p h p _ x m l r p c . d l l ” 文 件 中 ， 不 过 也 有 部 分 通 过 第 三 方 下 载 站 下 载 的 P h p S t u d y 后 门 位 于 “ p h p 5 3 e x t p h p _ x m l r p c . d l l ” 文 件 中 。 通 过 查 看 字 符 串 可 以 发 现 文 件 中 出 现 了 可 疑 的 “ e v a l ” 字 符 串 。 （ p h p _ x m l r p c . d l l 文 件 中 可 疑 的 “ e v a l ” 字 符 串 ） “ e v a l ” 字 符 串 所 在 的 这 段 代 码 通 过 P H P 函 数 g z u n c o m p r e s s 解 压 位 于 偏 移 0 x d 0 2 8 到 0 x d 6 6 c 处 的 s h e l l c o d e 并 执 行 。 （ 解 压 s h e l l c o d e 并 执 行 ）
（ 部 分 s h e l l c o d e ） 经 过 解 压 之 后 的 s h e l l c o d e 如 下 图 所 示 ， s h e l l c o d e 中 经 过 b a s e 6 4 编 码 的 内 容 即 为 最 终 的 后 门 。 （ 解 压 后 的 s h e l l c o d e ） 最 终 的 后 门 请 求 C & C 地 址 3 6 0 s e . n e t ， 执 行 由 C & C 返 回 的 内 容 ， 目 前 该 地 址 已 无 法 正 常 连 接 。
（ 后 门 代 码 示 意 图 ） 虽 然 在 杭 州 网 警 专 案 组 的 行 动 下 ， 已 经 分 别 在 海 南 、 四 川 、 重 庆 、 广 东 分 别 将 马 某 、 杨 某 、 谭 某 、 周 某 某 等 7 名 犯 罪 嫌 疑 人 缉 拿 ， 不 过 经 3 6 0 安 全 大 脑 的 关 联 分 析 ， 目 前 网 络 中 仍 然 有 超 过 1 7 0 0 个 存 在 “ 后 门 ” 的 p h p _ x m l r p c . d l l 文 件 。 这 些 通 过 修 改 常 用 软 件 底 层 源 代 码 ， 秘 密 添 加 的 “ 后 门 ” ， 可 以 在 用 户 无 感 知 的 状 态 下 ， 非 法 获 取 用 户 隐 私 数 据 ， 严 重 侵 害 了 人 民 群 众 的 合 法 权 益 ， 甚 至 危 害 国 家 安 全 。 而 3 6 0 安 全 大 脑 通 过 多 种 技 术 手 段 防 御 ， 可 以 第 一 时 间 感 知 此 类 恶 意 文 件 的 态 势 进 程 ， 并 独 家 推 出 了 修 复 方 案 。 同 时 ， 3 6 0 安 全 大 脑 特 别 建 议 ： 1 .   前 往 h t t p s : / / d l . 3 6 0 s a f e . c o m / i n s t b e t a . e x e ， 尽 快 下 载 安 装 最 新 版 3 6 0 安 全 卫 士 安 全 卫 士 ， 能 有 效 清 除 并 修 复 P h p S t u d y 安 装 目 录 下 的 “ 后 门 ” 文 件 ， 全 面 保 护 个 人 信 息 及 财 产 安 全 ； 2 .   请 及 时 修 改 服 务 器 密 码 ， 其 他 使 用 相 同 注 册 邮 箱 和 密 码 的 网 络 帐 户 也 应 该 一 并 修 改 ， 消 除 风 险 ； 3 .   不 要 随 意 下 载 ， 接 收 和 运 行 不 明 来 源 的 文 件 ， 尽 量 到 P h p S t u d y 官 网 h t t p s : / / w w w . x p . c n / 下 载 最 新 版 P h p S t u d y 安 装 包 进 行 更 新 ， 以 防 中 招 。 附 录 ： 部 分 附 录 ： 部 分 I O C s 被 篡 改 的 被 篡 改 的 p h p _ x m l r p c . d l l ： ： c 3 3 9 4 8 2 f d 2 b 2 3 3 f b 0 a 5 5 5 b 6 2 9 c 0 e a 5 d 5 0 f 7 a d 3 8 e 7 a 9 8 5 7 5 2 3 d f b c e 4 b c e 4 3 a 9 e 9 8 c 9 e 3 0 2 3 9 e c 3 7 8 4 b b 2 6 e 5 8 e 8 f 4 2 1 1 e d 0 e 2 5 2 e 3 2 a 8 8 7 3 a a b f 3 3 7 3 1 e 8 e b 9 0 c 0 8 d f 9 9 1 6 d c 7 4 b 4 e 9 e b 0 7 6 f a 5 f c f 9 6 e 3 b 8 a 9 c
f 3 b c 8 7 1 d 0 2 1 a 5 b 2 9 e c c 7 e c 8 1 3 e c e c 2 4 4 9 7 5 6 0 0 3 4 9 5 e 3 b b 1 9 0 b d 4 a 8 c d e 2 c 3 1 f 2 e d 7 4 4 4 e 4 6 7 c b 6 d c 2 8 7 c 7 9 1 c 0 7 2 8 7 0 8 b f d 2 0 1 8 版 版 P h p S t u d y 安 装 程 序 安 装 程 序 m d 5 :   f c 4 4 1 0 1 4 3 2 b 8 c 3 a 5 1 4 0 f c b 1 8 2 8 4 d 2 7 9 7 2 0 1 6 版 版 P h p S t u d y 安 装 程 序 安 装 程 序 m d 5 :   a 6 3 a b 7 a d b 0 2 0 a 7 6 f 3 4 b 0 5 3 d b 3 1 0 b e 2 e 9 m d 5 ： 0 d 3 c 2 0 d 8 7 8 9 3 4 7 a 0 4 6 4 0 d 4 4 0 a b e 0 7 2 9 d U R L ： ： h x x p : / / p u b l i c . x p . c n / u p g r a d e s / P h p S t u d y 2 0 1 8 0 2 1 1 . z i p h x x p s : / / w w w . x p . c n / p h p s t u d y / p h p S t u d y 2 0 1 6 1 1 0 3 . z i p h x x p s : / / w w w . x p . c n / p h p s t u d y / P h p S t u d y 2 0 1 8 0 2 1 1 . z i p C C : w w w . 3 6 0 s e . n e t : 2 0 1 2 3 w w w . 3 6 0 s e . n e t : 4 0 1 2 5 w w w . 3 6 0 s e . n e t : 8 0 8 0 w w w . 3 6 0 s e . n e t : 8 0 w w w . 3 6 0 s e . n e t : 5 3 b b s . 3 6 0 s e . n e t : 2 0 1 2 3 b b s . 3 6 0 s e . n e t : 4 0 1 2 5 b b s . 3 6 0 s e . n e t : 8 0 8 0 b b s . 3 6 0 s e . n e t : 8 0 b b s . 3 6 0 s e . n e t : 5 3 c m s . 3 6 0 s e . n e t : 2 0 1 2 3 c m s . 3 6 0 s e . n e t : 4 0 1 2 5 c m s . 3 6 0 s e . n e t : 8 0 8 0 c m s . 3 6 0 s e . n e t : 8 0 c m s . 3 6 0 s e . n e t : 5 3 d o w n . 3 6 0 s e . n e t : 2 0 1 2 3 d o w n . 3 6 0 s e . n e t : 4 0 1 2 5
d o w n . 3 6 0 s e . n e t : 8 0 8 0 d o w n . 3 6 0 s e . n e t : 8 0 d o w n . 3 6 0 s e . n e t : 5 3 u p . 3 6 0 s e . n e t : 2 0 1 2 3 u p . 3 6 0 s e . n e t : 4 0 1 2 5 u p . 3 6 0 s e . n e t : 8 0 8 0 u p . 3 6 0 s e . n e t : 8 0 u p . 3 6 0 s e . n e t : 5 3 f i l e . 3 6 0 s e . n e t : 2 0 1 2 3 f i l e . 3 6 0 s e . n e t : 4 0 1 2 5 f i l e . 3 6 0 s e . n e t : 8 0 8 0 f i l e . 3 6 0 s e . n e t : 8 0 f i l e . 3 6 0 s e . n e t : 5 3 f t p . 3 6 0 s e . n e t : 2 0 1 2 3 f t p . 3 6 0 s e . n e t : 4 0 1 2 5 f t p . 3 6 0 s e . n e t : 8 0 8 0 f t p . 3 6 0 s e . n e t : 8 0 f t p . 3 6 0 s e . n e t : 5 3 * 本 文 作 者 ： 本 文 作 者 ： 3 6 0 安 全 ， 转 载 请 注 明 来 自 安 全 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理