Analisado por: Jayvee Mark Villaroman   
 Plataforma:

Windows

 Classificao do risco total:
 Potencial de dano:
 Potencial de distribuição:
 infecção relatada:
 Exposição das informações:
Baixo
Medium
Alto
Crítico

  • Tipo de grayware:
    Backdoor

  • Destrutivo:
    Não

  • Criptografado:
    Sim

  • In the Wild:
    Sim

  Visão geral

Canal de infecção: Aus dem Internet heruntergeladen

Befindet sich möglicherweise auf einer Website und wird ausgeführt, wenn ein Benutzer auf diese Website zugreift.

  Detalhes técnicos

Tipo de compactação: 28,907 bytes
Tipo de arquivo: PHP
Residente na memória: Não
Data de recebimento das amostras iniciais: 08 maio 2023
Carga útil: Steals information, Collects system information

Übertragungsdetails

Befindet sich möglicherweise auf einer Website und wird ausgeführt, wenn ein Benutzer auf diese Website zugreift.

Datendiebstahl

Folgende Daten werden gesammelt:

  • Operating System
  • Server
  • Server IP
  • User IP
  • Kernel Version
  • Software
  • Storage Space
  • User/Group
  • Time on Server
  • PHP Version
  • Safe Mode Status
  • MySQL Version
  • MSSQL Version
  • PostgreSQL Version
  • Perl Version
  • Python Version
  • Ruby Version
  • WGET Version
  • cURL Version
  • Magic Quotes Version
  • SSH2 Version
  • Oracle Version
  • UID
  • GID
  • Group
  • HDD Free space
  • HDD Used space
  • HDD Total space

Andere Details

Es macht Folgendes:

  • Checks for the status of these PHP configurations and set it to 'ON':
    • Safe mode
    • Disable functions
    • Basedir
    • MySQL
    • curl
    • wget
    • perl
    • ruby
    • mssql
    • pgsql
    • python
    • magicquotes
    • ssh2
    • oracle
  • Enumerates available drives in the system and creates a link for a malicious actor to access it
  • This backdoor has a control panel that has the following functions:
    • Info
    • Mass deface
    • Symlink
    • Config
    • Cpanel
    • All_tools
    • Upload files
    • command
    • bikinfile
    • Logout
  • Grants full read, write, and execute privileges to the malicious actor
  • Bypass Symlink protections giving unauthorized access, privilege escalation, data manipulation, code injection, lateral movement, and persistence in the affected system.
  • Bind connect to systems running Perl and C servers using Netsploit which has the following functionalities:
    • Port Binding
    • Connect Back
    • Load and Exploit
  • It shows the following string to indicate that the website has been hacked:
    • Hacked by D7net

  Solução

Mecanismo de varredura mínima: 9.800
Primeiro arquivo padrão VSAPI: 18.440.03
Data do lançamento do primeiro padrão VSAPI: 12 maio 2023
VSAPI OPR Pattern Version: 18.441.00
VSAPI OPR Pattern veröffentlicht am: 13 maio 2023

Step 1

Für Windows ME und XP Benutzer: Stellen Sie vor einer Suche sicher, dass die Systemwiederherstellung deaktiviert ist, damit der gesamte Computer durchsucht werden kann.

Step 2

Durchsuchen Sie Ihren Computer mit Ihrem Trend Micro Produkt, und löschen Sie Dateien, die als Backdoor.PHP.WEBSHELL.SBJSRMUAI entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem Trend Micro Produkt gesäubert, gelöscht oder in Quarantäne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarantäne können einfach gelöscht werden. Auf dieser Knowledge-Base-Seite finden Sie weitere Informationen.


Participe da nossa pesquisa!