Backdoor.PHP.WEBSHELL.SBJKSV

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 マルウェアは、Webサイトに組み込まれており、ユーザがアクセスすると実行されます。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、Webサイトに組み込まれており、ユーザがアクセスすると実行されます。

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Execute arbitrary command
• List directory contents
• Rename a file or a directory
• Delete a file or a directory
• Change file or directory permissions
• Edit a file
• Mass deface
• Adminer login (SQL Manager)
• Reset password
• Retrieve domains and users
• Jump server
• Grab configurations
• Use CGI Telnet v1.3
• Back connect or bind port
• Bypass functions
• Delete log files
• View log file
• Download a file
• Upload a file
• Save a file
• Brute force login

情報漏えい

マルウェアは、以下の情報を収集します。

• Safe mode status
• Disable functions status
• MySQL status
• Curl status
• Wget status
• Perl status
• Python status
• OS Information
• Current Directory
• Root Directory (under which the script is executing)

その他

マルウェアは、以下を実行します。

• It sends a 404 Not Found header if the user-agent contains any of the following strings:
  • Googlebot
  • Slurp
  • MSNBot
  • PycURL
  • facebookexternalhit
  • ia_archiver
  • crawler
  • Yandex
  • Rambler
  • Yahoo!
  • Slurp
  • YahooSeeker
  • bingbot
• Upon execution, it will display the following window with different tabs where the attacker can perform backdoor activities:
  

マルウェアは、自身の不正活動を実行するために、Webサーバにホストされている必要があります。