[color=#333333 !important]北京时间9月20日，杭州公安发布《杭州警方通报打击涉网违法犯罪暨‘净网2019’专项行动战果》一文，文章曝光了国内知名PHP调试环境程序集成包“PhpStudy软件”遭到黑客篡改并植入“后门”。截至案发，近百万PHP用户中超过67万用户已被黑客控制，并大肆盗取账号密码、聊天记录、设备码类等敏感数据多达10万多组，非法牟利600多万元。
6 P8 f' M, d" K[color=#333333 !important]面对如此性质恶劣的网络攻击事件，360安全大脑已独家完成了针对“PhpStudy后门”的修复支持，能够有效清除和修复该植入“后门”，第一时间守护用户的个人数据及财产安全，建议广大用户尽快前往https://dl.360safe.com/instbeta.exe下载安装最新版360安全卫士进行修复！9 i3 [/ A# j2 M/ j
[color=#333333 !important] " Y3 w, f; K( m$ b1 c
案情破获：自2016年开始潜伏，累计67万电脑沦为“肉鸡”7 }4 i2 U8 X' I8 u" Z6 `. J, b
, p2 e5 Y7 m, I! x$ h O
[color=#333333 !important]PhpStudy软件对于国内众多开发者而言，并不陌生。它是一款免费的PHP调试环境的程序集成包，集成了最新的Apache、PHP、MySQL、phpMyAdmin、ZendOptimizer多款软件一次性安装，无需配置即可直接使用，具有PHP环境调试和PHP开发功能。因为免费公益、简易方便，现已发展到一定的规模，有着近百万PHP语言学习者、开发者用户。3 B( i5 b' e7 x" d' i; c
[color=#333333 !important]然而，如此绿色无公害的“国民”开发软件遭到了黑客的毒手，并且犯罪动机竟然出自黑客的技痒和虚荣心。据杭州公安披露，黑客组织早在2016年就编写了“后门”文件，并非法侵入了PhpStudy的官网，篡改了软件安装包植入“后门”。而该“后门”具有控制计算机的功能，可以远程控制下载运行脚本实现用户个人信息收集。
& Y# [/ n: P( ^! P+ Y[color=#333333 !important]从2016年起，黑客利用该“后门”犯罪作恶一发不可收拾，大量中招的电脑沦为“肉鸡”执行危险命令，不计其数的用户账号密码、电脑数据、敏感信息被远程抓取和回传。据统计，黑客已控制了超过67万台电脑，非法获取账号密码类、聊天数据类、设备码类等数据10万余组，而此案也是2019年以来，国内影响最为严重的供应链攻击事件。
3 D+ W, P& q, m$ U: v' j8 m# N雷霆行动：“后门”涉及多个版本，360安全大脑国内率先支持修复！
5 A, Z% w. P+ |" V6 x7 a* W6 y6 q |( K
[color=#333333 !important]值得注意的是，经360安全大脑的监测发现，被篡改的软件版本并不单单是官方通告的PhpStudy2016版本中的Php5.4版本，而是在PhpStudy 2016版和2018版两个版本中均同时被发现有“后门”文件的存在，并且影响部分使用PhpStudy搭建的Php5.2、Php5.3和Php5.4环境。虽然目前官方软件介绍页面中的下载链接已经失效，但在官网历史版本中仍能下载到。除了官网外，一些下载站提供的相同版本的PhpStudy也同样“不干净”。
) p* o$ J8 M' c, f- \( z9 Z[color=#333333 !important]360安全大脑的进一步深度溯源，确认绝大多数后门位于PhpStudy目录下的“php\php-5.4.45\ext\php_xmlrpc.dll”文件和“\php\php-5.2.17\ext\php_xmlrpc.dll”文件中，不过也有部分通过第三方下载站下载的PhpStudy后门位于“\php53\ext\php_xmlrpc.dll”文件中。通过查看字符串可以发现文件中出现了可疑的“eval”字符串。
* y( C& V* f7 I7 t8 ~' o7 ][color=#333333 !important] . r0 Y# n$ `) i5 W+ T# [/ R
[color=#333333 !important]（php_xmlrpc.dll文件中可疑的“eval”字符串）
; _* t) ]/ ~: a8 y: g; k[color=#333333 !important]“eval”字符串所在的这段代码通过PHP函数gzuncompress解压位于偏移0xd028到0xd66c处的shellcode并执行。3 s5 V% ? j7 L, S. Y
[color=#333333 !important] : z6 v% F) E5 A3 i. K, y2 L
[color=#333333 !important]（解压shellcode并执行）
7 y0 p' r8 @: G( I" T+ o! z) L[color=#333333 !important] 8 z) N" }0 Y( m. e$ J
[color=#333333 !important]（部分shellcode）
1 A6 P2 x2 M& ]( d& T _6 Q[color=#333333 !important]经过解压之后的shellcode如下图所示，shellcode中经过base64编码的内容即为最终的后门。6 g( N7 y/ J3 I* {% H' R+ b+ Z. f
[color=#333333 !important]
$ G% Z1 I W W9 g, {5 _: H[color=#333333 !important]（解压后的shellcode） - H5 D# w7 X: `, D, Y
[color=#333333 !important]最终的后门请求C&C地址360se.net，执行由C&C返回的内容，目前该地址已无法正常连接。
: {) C' F* L( H8 A% V) y- Q+ b' f0 }[color=#333333 !important] 
[color=#333333 !important]（后门代码示意图）
2 u4 K( |6 r' R( q" q& t[color=#333333 !important]虽然在杭州网警专案组的行动下，已经分别在海南、四川、重庆、广东分别将马某、杨某、谭某、周某某等7名犯罪嫌疑人缉拿，不过经360安全大脑的关联分析，目前网络中仍然有超过1700个存在“后门”的php_xmlrpc.dll文件。
# H/ B; T- w2 D2 ]& ?% S[color=#333333 !important]这些通过修改常用软件底层源代码，秘密添加的“后门”，可以在用户无感知的状态下，非法获取用户隐私数据，严重侵害了人民群众的合法权益，甚至危害国家安全。而360安全大脑通过多种技术手段防御，可以第一时间感知此类恶意文件的态势进程，并独家推出了修复方案。同时，360安全大脑特别建议：- i2 J0 e' M% b5 \: c# ~
[color=#333333 !important]1. 前往https://dl.360safe.com/instbeta.exe，尽快下载安装最新版360安全卫士，能有效清除并修复PhpStudy安装目录下的“后门”文件，全面保护个人信息及财产安全；
7 m* F& B, t. K- B* ^[color=#333333 !important]2. 请及时修改服务器密码，其他使用相同注册邮箱和密码的网络帐户也应该一并修改，消除风险；
5 h% N. _, U' _4 k1 V& r[color=#333333 !important]3. 不要随意下载，接收和运行不明来源的文件，尽量到PhpStudy官网https://www.xp.cn/下载最新版PhpStudy安装包进行更新，以防中招。5 Y; ?/ _) `8 u8 ]3 k4 v9 ?
附录：部分IOCs$ @9 a0 U- j7 j' t
- C* ?! N7 d1 P7 Z# E+ V: y: g7 S
被篡改的php_xmlrpc.dll：
4 t3 R* t2 Y) y: f+ `* }2 q; k0 a6 E: i' b2 f! W3 Z
[color=#333333 !important]c339482fd2b233fb0a555b629c0ea5d5; H5 [+ k2 M! W+ f
[color=#333333 !important]0f7ad38e7a9857523dfbce4bce43a9e9
7 b% o) i. c) J* D) g ?[color=#333333 !important]8c9e30239ec3784bb26e58e8f4211ed0$ U) w! P# f/ D3 `* E- t% G! B
[color=#333333 !important]e252e32a8873aabf33731e8eb90c08df# B n! g4 L" s! V z4 p
[color=#333333 !important]9916dc74b4e9eb076fa5fcf96e3b8a9c
8 ?* a4 X1 r# F8 W ^[color=#333333 !important]f3bc871d021a5b29ecc7ec813ecec244 L0 x6 @: H9 Z; U
[color=#333333 !important]9756003495e3bb190bd4a8cde2c31f2e% S; C" j# m' u5 C, U+ F
[color=#333333 !important]d7444e467cb6dc287c791c0728708bfd$ s3 h2 X9 {- k3 @
2018版PhpStudy安装程序6 V7 ^8 g. {/ ?+ o+ Q* [9 Z
; _' i7 X3 w& E! D+ b& b, N! |( }[color=#333333 !important]md5: fc44101432b8c3a5140fcb18284d2797# k& Z; \2 C+ I! Q
2016版PhpStudy安装程序- h I3 H; M: g, T, P/ T
" g) d7 I( V4 X! C4 k9 |
[color=#333333 !important]md5: a63ab7adb020a76f34b053db310be2e9
' f6 K+ j' r( ~$ l. [0 w Q* r$ w. b9 m[color=#333333 !important]md5：0d3c20d8789347a04640d440abe0729d) o$ Y! M% W+ F2 j7 D3 l# a
URL：
+ ^* U$ E% z8 ^) k& t
( S- J+ U5 U; D' I- h' u$ W[color=#333333 !important]hxxp://public.xp.cn/upgrades/PhpStudy20180211.zip
% ?9 Q4 n" H1 t! B5 _6 w- u4 J[color=#333333 !important]hxxps://www.xp.cn/phpstudy/phpStudy20161103.zip: D8 y7 ]& L/ {1 w
[color=#333333 !important]hxxps://www.xp.cn/phpstudy/PhpStudy20180211.zip4 v& ^ z1 j9 a- {8 _3 y! Z
CC:
/ |4 j; P. y2 I0 ^1 r2 b1 p; K* s
[color=#333333 !important]www.360se.net:20123% [0 ~ `" G+ i/ E; Q! w3 H
[color=#333333 !important]www.360se.net:40125
9 e9 Y+ e3 R; F4 m6 @[color=#333333 !important]www.360se.net:80803 O5 ^" R, y& m2 t
[color=#333333 !important]www.360se.net:808 y ~+ K& `" g% |+ y* q
[color=#333333 !important]www.360se.net:539 f7 v& G3 ^5 ^) k
[color=#333333 !important]bbs.360se.net:20123$ e/ z; r n: C r- l) w7 x
[color=#333333 !important]bbs.360se.net:401256 k/ B" X+ d& u! F
[color=#333333 !important]bbs.360se.net:8080% f4 f) G' d/ o3 o i( k
[color=#333333 !important]bbs.360se.net:80$ ]0 e/ H" z9 ~# Y4 I
[color=#333333 !important]bbs.360se.net:53
d: m5 R6 d- ]) d9 ^% w8 B[color=#333333 !important]cms.360se.net:20123- k- f. ]! }; t4 f- u: n
[color=#333333 !important]cms.360se.net:40125
' k, k4 q8 N7 j1 l, e( N6 H[color=#333333 !important]cms.360se.net:8080
8 Y8 F9 z/ k) ?$ p2 E[color=#333333 !important]cms.360se.net:80
# A8 f7 s1 O+ G) I* p9 t[color=#333333 !important]cms.360se.net:53
8 o5 Y$ p2 E2 W9 f[color=#333333 !important]down.360se.net:201230 K5 a2 W4 h& P- f8 P
[color=#333333 !important]down.360se.net:40125! f$ V* u3 g+ c
[color=#333333 !important]down.360se.net:80802 X6 @# t: E9 F$ v8 I3 d( N
[color=#333333 !important]down.360se.net:80* P/ A5 W! M, i( G( E5 C2 p- `
[color=#333333 !important]down.360se.net:53
* W; D$ D" P" f[color=#333333 !important]up.360se.net:20123
2 k8 S+ c/ s/ \, l[color=#333333 !important]up.360se.net:40125$ Q7 H5 c# T4 [, E- {8 e
[color=#333333 !important]up.360se.net:8080* J0 }2 t. E K4 S9 L/ G
[color=#333333 !important]up.360se.net:80; _4 I6 E4 F- H* @2 R1 n! Z
[color=#333333 !important]up.360se.net:53
) |' E" i) U) x/ K! {) X$ p[color=#333333 !important]file.360se.net:20123# W7 g, g& G3 s" i% {
[color=#333333 !important]file.360se.net:40125
: y9 z( _+ o9 |" h[color=#333333 !important]file.360se.net:8080
+ {8 N: O& p# D g/ @$ r) I[color=#333333 !important]file.360se.net:80
' b3 l& f* ^7 Y" m/ z- j) E! j! Q$ V[color=#333333 !important]file.360se.net:53
% ~% u9 @9 W# `" i1 K[color=#333333 !important]ftp.360se.net:20123
: s' X, Z1 Y1 H2 r& {[color=#333333 !important]ftp.360se.net:40125
' v0 d+ y9 Y% T; R[color=#333333 !important]ftp.360se.net:8080
+ D6 s* Q# S, |[color=#333333 !important]ftp.360se.net:80
: i' b0 r6 p9 I4 D5 T1 |[color=#333333 !important]ftp.360se.net:53* z3 i9 E/ R9 @- B/ C. s
[color=#333333 !important]*本文作者：360安全，转载请注明来自FreeBuf.COM0 Q3 B' X* T- s& U8 X
/ m, E8 H1 Y' C$ F
 $ |$ M* \! a6 ~9 v
精彩推荐4 o B" i: Y [6 ~% s. {
& M* o7 q5 L& b1 Y- e
9 J/ K8 n [% c# f4 Q! C
9 y# f, {+ E2 x2 X( I; ]4 U% f* f) ]2 u
! Q3 Q: L2 E1 C8 g
, C0 d; H4 N6 M7 Q来源：http://mp.weixin.qq.com/s?src=11×tamp=1569162604&ver=1868&signature=nMTEvbqQvp1yT2KzYm-TiJTh834tZs2cquMZedwwmkAjoRd0b4GlSLLA0CyDYH*E3CXlIGgh*A5XXU3V9LcSt3CgplJMA7qwe-XksgPh2-jrmhRO-NEJ7qLMJylYx1xE&new=19 W7 D3 T* @+ h. o0 S
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！ |
|手机版|小黑屋|梦想之都-俊月星空
( 粤ICP备18056059号 )|网站地图
发表于 2019-9-22 22:51:15
