Backdoor.PHP.WEBSHELL.SBJKSV

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites. Befindet sich möglicherweise auf einer Website und wird ausgeführt, wenn ein Benutzer auf diese Website zugreift.

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Befindet sich möglicherweise auf einer Website und wird ausgeführt, wenn ein Benutzer auf diese Website zugreift.

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• Execute arbitrary command
• List directory contents
• Rename a file or a directory
• Delete a file or a directory
• Change file or directory permissions
• Edit a file
• Mass deface
• Adminer login (SQL Manager)
• Reset password
• Retrieve domains and users
• Jump server
• Grab configurations
• Use CGI Telnet v1.3
• Back connect or bind port
• Bypass functions
• Delete log files
• View log file
• Download a file
• Upload a file
• Save a file
• Brute force login

Datendiebstahl

Folgende Daten werden gesammelt:

• Safe mode status
• Disable functions status
• MySQL status
• Curl status
• Wget status
• Perl status
• Python status
• OS Information
• Current Directory
• Root Directory (under which the script is executing)

Andere Details

Es macht Folgendes:

• It sends a 404 Not Found header if the user-agent contains any of the following strings:
  • Googlebot
  • Slurp
  • MSNBot
  • PycURL
  • facebookexternalhit
  • ia_archiver
  • crawler
  • Yandex
  • Rambler
  • Yahoo!
  • Slurp
  • YahooSeeker
  • bingbot
• Upon execution, it will display the following window with different tabs where the attacker can perform backdoor activities: