Analysé par: Jayvee Mark Villaroman   
 Plate-forme:

Windows

 Overall Risk:
 Dommages potentiels: :
 Distribution potentielle: :
 reportedInfection:
 Information Exposure Rating::
Faible
Medium
Élevé
Critique

  • Type de grayware:
    Backdoor

  • Destructif:
    Non

  • Chiffrement:
    Oui

  • In the wild::
    Oui

  Overview

Voie d'infection: Aus dem Internet heruntergeladen

Befindet sich möglicherweise auf einer Website und wird ausgeführt, wenn ein Benutzer auf diese Website zugreift.

  Détails techniques

File size: 28,907 bytes
File type: PHP
Memory resident: Non
Date de réception des premiers échantillons: 08 mai 2023
Charge malveillante: Steals information, Collects system information

Übertragungsdetails

Befindet sich möglicherweise auf einer Website und wird ausgeführt, wenn ein Benutzer auf diese Website zugreift.

Datendiebstahl

Folgende Daten werden gesammelt:

  • Operating System
  • Server
  • Server IP
  • User IP
  • Kernel Version
  • Software
  • Storage Space
  • User/Group
  • Time on Server
  • PHP Version
  • Safe Mode Status
  • MySQL Version
  • MSSQL Version
  • PostgreSQL Version
  • Perl Version
  • Python Version
  • Ruby Version
  • WGET Version
  • cURL Version
  • Magic Quotes Version
  • SSH2 Version
  • Oracle Version
  • UID
  • GID
  • Group
  • HDD Free space
  • HDD Used space
  • HDD Total space

Andere Details

Es macht Folgendes:

  • Checks for the status of these PHP configurations and set it to 'ON':
    • Safe mode
    • Disable functions
    • Basedir
    • MySQL
    • curl
    • wget
    • perl
    • ruby
    • mssql
    • pgsql
    • python
    • magicquotes
    • ssh2
    • oracle
  • Enumerates available drives in the system and creates a link for a malicious actor to access it
  • This backdoor has a control panel that has the following functions:
    • Info
    • Mass deface
    • Symlink
    • Config
    • Cpanel
    • All_tools
    • Upload files
    • command
    • bikinfile
    • Logout
  • Grants full read, write, and execute privileges to the malicious actor
  • Bypass Symlink protections giving unauthorized access, privilege escalation, data manipulation, code injection, lateral movement, and persistence in the affected system.
  • Bind connect to systems running Perl and C servers using Netsploit which has the following functionalities:
    • Port Binding
    • Connect Back
    • Load and Exploit
  • It shows the following string to indicate that the website has been hacked:
    • Hacked by D7net

  Solutions

Moteur de scan minimum: 9.800
First VSAPI Pattern File: 18.440.03
First VSAPI Pattern Release Date: 12 mai 2023
VSAPI OPR Pattern Version: 18.441.00
VSAPI OPR Pattern Release Date: 13 mai 2023

Step 1

Für Windows ME und XP Benutzer: Stellen Sie vor einer Suche sicher, dass die Systemwiederherstellung deaktiviert ist, damit der gesamte Computer durchsucht werden kann.

Step 2

Durchsuchen Sie Ihren Computer mit Ihrem Trend Micro Produkt, und löschen Sie Dateien, die als Backdoor.PHP.WEBSHELL.SBJSRMUAI entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem Trend Micro Produkt gesäubert, gelöscht oder in Quarantäne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarantäne können einfach gelöscht werden. Auf dieser Knowledge-Base-Seite finden Sie weitere Informationen.


Participez à notre enquête!