0day.jp (ゼロデイ.JP): 【マルウェア警告】日本のIDCにIRCボットのPerl/PHPマルウェアを発見！その２【対応済み】

日曜日, 6月 26, 2011

【マルウェア警告】日本のIDCにIRCボットのPerl/PHPマルウェアを発見！その２【対応済み】

本件に付いて前回似たような問題を発見した事があります、その時のレポートはここにあります。
前と同じ様に、本件もPerlとPHP経由のIRCマルウェアです。このマルウェアがハッキングされたウェブサーバに発見しました。

このマルウェアに感染された2件のサイトを報告させて頂きます↓

(1) GMO/INTERQのIDCお客様　1件
hxxp://miyabilondon.com/mt_admin/tools/ipays.txt
hxxp://miyabilondon.com/mt_admin/tools/id.txt

(2) SAKURAインターネットのIDC　1件
hxxp://www.a-cubic.co.jp/~info/remote.txt
hxxp://www.a-cubic.co.jp/~info/b0x.txt

※上記のURLは本物のマルウェアですので、危険ですが、専門の方々じゃないとアクセスは禁止です！ご注意下さい。
※スクリプトに書いたコメントを見たら、本件のマルウェアを作った国は東南アジア系ですので、マレーシアかインドネシアかだと思われます。
※現時点では本件のサンプルが未だアップされている状況ですので、ブラウザーで安心で見れますので、中身に書いたコードを見たら皆さんもマルウェアのスクリプトの確認が出来ると思います。

本件のマルウェアが必ず何個のファイルでセットされています。簡単に言えば、1個はリモートでIRCホストに繋げて悪戯コマンドを受けますが、もう1個は色んなサーバのサービスを弄ると。但し、このマルウェアが簡単に作りなおされる物なので、沢山種類があります。例えば上記の(1)DDoS攻撃機能が持っています、(2)はHTTP経由でSMSメッセージを送る機能が持っています。(1)と(2)のマルウェアは他のサイトにも感染が出来るようにSQLインジェックション攻撃機能も持っています、詳しく見たいならゆっくり上記のテキストファイルの中身を見て下さい。

記号沢山質問が届いた、どのコードが危ないかと。下記の一覧でマルウェア/ハッキング機能のスクリーンショットを用意しました、クリックしたらコードの画像を見えます↓
【Shellコードインジェックション】