Analisado por: Warren Adam Sto. Tomas   
 

HEUR:Backdoor.PHP.PhpShell.eg(Kaspersky); Backdoor.PHP.Webshell.EB(BitDefender)

 Plataforma:

Windows

 Classificao do risco total:
 Potencial de dano:
 Potencial de distribuição:
 infecção relatada:
 Exposição das informações:
Baixo
Medium
Alto
Crítico

  • Tipo de grayware:
    Backdoor

  • Destrutivo:
    Não

  • Criptografado:
    Não

  • In the Wild:
    Sim

  Visão geral

Canal de infecção: Aus dem Internet heruntergeladen

Befindet sich möglicherweise auf einer Website und wird ausgeführt, wenn ein Benutzer auf diese Website zugreift.

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird.

Ruft bestimmte Informationen vom betroffenen System ab.

  Detalhes técnicos

Tipo de compactação: 223,978 bytes
Tipo de arquivo: Script
Residente na memória: Não
Data de recebimento das amostras iniciais: 17 fevereiro 2012
Carga útil: Displays windows, Terminates processes

Übertragungsdetails

Befindet sich möglicherweise auf einer Website und wird ausgeführt, wenn ein Benutzer auf diese Website zugreift.

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

  • Execute cmd commands
  • Terminate process
  • File/folder related commands:
    • View file
    • Edit file
    • Rename file
    • Download file
    • Upload file
    • Copy File
    • Paste file
    • Search file
    • Delete file
    • Create file
    • Change file mode
    • Change file owner
    • Change file accessed and modified time
    • Extract file (.tar, .tar.gz, .zip)
    • Compress file (.tar, tar.gz, .zip)

Datendiebstahl

Ruft folgende Informationen vom betroffenen System ab:

  • IP address
  • Server IP address
  • Time in server
  • Computer name
  • Operating System
  • Machine type
  • Drives available
  • Drive free space
  • Drive total space
  • Versions of the following:
    • PHP
    • Python
    • Perl
    • Ruby
    • Node
    • Nodejs
    • GNU Compiler Collection
    • Java
    • Javac
  • PHP General Info
  • PHP Configuration
  • PHP Modules
  • PHP Environment
  • PHP Variables
  • If the following servers are turned on:
    • MYSQL
    • MSSQL
    • PostGreSQL
    • Oracle
    • SQLite
    • SQLite3
    • Open Database Connectivity
    • PHP Data Objects
  • It gets the following information if the Operating System is not Windows:
    • System File Configuration
    • CPU
    • Memory
    • Partition
  • Complete file directory for all available disk drives(from A: to Z:) including:
    • File name
    • Size
    • File permissions
    • Date modified
  • List of active processes including:
    • Image name
    • Process ID
    • Session name
    • Session number
    • Memory usage
    • Status
    • User name
    • CPU time
    • Window title

  Solução

Mecanismo de varredura mínima: 9.850
Primeiro arquivo padrão VSAPI: 13.226.05
Data do lançamento do primeiro padrão VSAPI: 17 fevereiro 2017
VSAPI OPR Pattern Version: 13.227.00
VSAPI OPR Pattern veröffentlicht am: 18 fevereiro 2017

Step 1

Für Windows ME und XP Benutzer: Stellen Sie vor einer Suche sicher, dass die Systemwiederherstellung deaktiviert ist, damit der gesamte Computer durchsucht werden kann.

Step 2

Schließen Sie alle geöffneten Browser-Fenster

Step 3

Durchsuchen Sie Ihren Computer mit Ihrem Trend Micro Produkt, und löschen Sie Dateien, die als PHP_WEBSHELL.AGNV entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem Trend Micro Produkt gesäubert, gelöscht oder in Quarantäne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarantäne können einfach gelöscht werden. Auf dieser Knowledge-Base-Seite finden Sie weitere Informationen.


Participe da nossa pesquisa!