北京時(shí)間9月20日，杭州公安發(fā)布《杭州警方通報(bào)打擊涉網(wǎng)違法犯罪暨凈網(wǎng)2019專項(xiàng)行動(dòng)戰(zhàn)果》一文，文章曝光了國內(nèi)知名PHP調(diào)試環(huán)境程序集成包"PhpStudy軟件"遭到黑客篡改并植入"后門"。截至案發(fā)，近百萬PHP用戶中超過67萬用戶已被黑客控制，并大肆盜取賬號(hào)密碼、聊天記錄、設(shè)備碼類等敏感數(shù)據(jù)多達(dá)10萬多組，非法牟利600多萬元。
面對(duì)如此性質(zhì)惡劣的網(wǎng)絡(luò)攻擊事件，360安全大腦已國內(nèi)首家完成了針對(duì)"PhpStudy后門"的修復(fù)支持，能夠有效清除和修復(fù)該植入"后門"，第一時(shí)間守護(hù)用戶的個(gè)人數(shù)據(jù)及財(cái)產(chǎn)安全，建議廣大用戶盡快前往https://dl.360safe.com/instbeta.exe下載安裝最新版360安全衛(wèi)士進(jìn)行修復(fù)！
案情破獲：自2016年開始潛伏，累計(jì)67萬電腦淪為"肉雞"
PhpStudy軟件對(duì)于國內(nèi)眾多開發(fā)者而言，并不陌生。它是一款免費(fèi)的PHP調(diào)試環(huán)境的程序集成包，集成了最新的Apache、PHP、MySQL、phpMyAdmin、ZendOptimizer多款軟件一次性安裝，無需配置即可直接使用，具有PHP環(huán)境調(diào)試和PHP開發(fā)功能。因?yàn)槊赓M(fèi)公益、簡易方便，現(xiàn)已發(fā)展到一定的規(guī)模，有著近百萬PHP語言學(xué)習(xí)者、開發(fā)者用戶。
然而，如此綠色無公害的"國民"開發(fā)軟件遭到了黑客的毒手，并且犯罪動(dòng)機(jī)竟然出自黑客的技癢和虛榮心。據(jù)杭州公安披露，黑客組織早在2016年就編寫了"后門"文件，并非法侵入了PhpStudy的官網(wǎng)，篡改了軟件安裝包植入"后門"。而該"后門"具有控制計(jì)算機(jī)的功能，可以遠(yuǎn)程控制下載運(yùn)行腳本實(shí)現(xiàn)用戶個(gè)人信息收集。
從2016年起，黑客利用該"后門"犯罪作惡一發(fā)不可收拾，大量中招的電腦淪為"肉雞"執(zhí)行危險(xiǎn)命令，不計(jì)其數(shù)的用戶賬號(hào)密碼、電腦數(shù)據(jù)、敏感信息被遠(yuǎn)程抓取和回傳。據(jù)統(tǒng)計(jì)，黑客已控制了超過67萬臺(tái)電腦，非法獲取賬號(hào)密碼類、聊天數(shù)據(jù)類、設(shè)備碼類等數(shù)據(jù)10萬余組，而此案也是2019年以來，國內(nèi)影響最為嚴(yán)重的供應(yīng)鏈攻擊事件。
雷霆行動(dòng)："后門"涉及多個(gè)版本，360安全大腦國內(nèi)率先支持修復(fù)！
值得注意的是，經(jīng)360安全大腦的監(jiān)測(cè)發(fā)現(xiàn)，被篡改的軟件版本并不單單是官方通告的PhpStudy2016版本中的php5.4版本，而是在PhpStudy 2016版和2018版兩個(gè)版本中均同時(shí)被發(fā)現(xiàn)有"后門"文件的存在，并且影響部分使用PhpStudy搭建的PHP5.2、PHP5.3和PHP5.4環(huán)境。雖然目前官方軟件介紹頁面中的下載鏈接已經(jīng)失效，但在官網(wǎng)歷史版本中仍能下載到。除了官網(wǎng)外，一些下載站提供的相同版本的PhpStudy也同樣"不干凈"。
360安全大腦的進(jìn)一步深度溯源，確認(rèn)絕大多數(shù)后門位于PhpStudy目錄下的"php\php-5.4.45\ext\php_xmlrpc.dll"文件和"\php\php-5.2.17\ext\php_xmlrpc.dll"文件中，不過也有部分通過第三方下載站下載的PhpStudy后門位于"\php53\ext\php_xmlrpc.dll"文件中。通過查看字符串可以發(fā)現(xiàn)文件中出現(xiàn)了可疑的"eval"字符串。
（php_xmlrpc.dll文件中可疑的"eval"字符串）
"eval"字符串所在的這段代碼通過PHP函數(shù)gzuncompress解壓位于偏移0xd028到0xd66c處的shellcode并執(zhí)行。
（解壓shellcode并執(zhí)行）
（部分shellcode）
經(jīng)過解壓之后的shellcode如下圖所示，shellcode中經(jīng)過base64編碼的內(nèi)容即為最終的后門。
（解壓后的shellcode）
最終的后門請(qǐng)求C&C地址360se.net，執(zhí)行由C&C返回的內(nèi)容，目前該地址已無法正常連接。
（后門代碼示意圖）
雖然在杭州網(wǎng)警專案組的行動(dòng)下，已經(jīng)分別在海南、四川、重慶、廣東分別將馬某、楊某、譚某、周某某等7名犯罪嫌疑人緝拿，不過經(jīng)360安全大腦的關(guān)聯(lián)分析，目前網(wǎng)絡(luò)中仍然有超過1700個(gè)存在"后門"的php_xmlrpc.dll文件。
這些通過修改常用軟件底層源代碼，秘密添加的"后門"，可以在用戶無感知的狀態(tài)下，非法獲取用戶隱私數(shù)據(jù)，嚴(yán)重侵害了人民群眾的合法權(quán)益，甚至危害國家安全。而360安全大腦通過多種技術(shù)手段防御，可以第一時(shí)間感知此類惡意文件的態(tài)勢(shì)進(jìn)程，并國內(nèi)首家推出了修復(fù)方案。同時(shí)，360安全大腦特別建議：
1、 盡快前往https://dl.360safe.com/instbeta.exe，及時(shí)下載安裝最新版360安全衛(wèi)士，能有效清除并修復(fù)PhpStudy安裝目錄下的"后門"文件，全面保護(hù)個(gè)人信息及財(cái)產(chǎn)安全；
2、 請(qǐng)及時(shí)修改服務(wù)器密碼，其他使用相同注冊(cè)郵箱和密碼的網(wǎng)絡(luò)帳戶也應(yīng)該一并修改，消除風(fēng)險(xiǎn)；
3、 不要隨意下載，接收和運(yùn)行不明來源的文件，盡量到PhpStudy官網(wǎng)（https://www.xp.cn/）下載最新版PhpStudy安裝包進(jìn)行更新，以防中招。
---------------------------------------------------------
免責(zé)聲明：
1.本文援引自互聯(lián)網(wǎng)，旨在傳遞更多網(wǎng)絡(luò)信息，僅代表作者本人觀點(diǎn)，與本網(wǎng)站無關(guān)。
2.本文僅供讀者參考，本網(wǎng)站未對(duì)該內(nèi)容進(jìn)行證實(shí)，對(duì)其原創(chuàng)性、真實(shí)性、完整性、及時(shí)性不作任何保證。
以上就是【我不敢相信第2個(gè)！真沒想到（phpstudy python）phpstudy刪除不了-PhpStudy被曝遠(yuǎn)控后門"深水炸彈"，360安全大腦獨(dú)家推出修復(fù)方案！】的全部內(nèi)容。
評(píng)論