PHP Malware?

Aler02 · Napísal **Aler02**: 13.04.2020 8:42 | PHP Malware?

Ahojte, s kamarátom sme kúpili jeden system webu, neviem či to poznate SocialEngine. Je to len lokalny web pre velmi uzku skupinu kamaratov.
Tento system umožnuje dokupovanie pluginov, ktore sme aj kupily. Hosting mame na websupport. A tu nastal problem, teda neviem ci je to problem.
Hosting umoznuje Virus scan a ten poukazal na infiltracie na webe. Sú to presne tie instalovane doplnky co sme kupili, teda vsetky.
Tu je mala ukázka, je toho viac, v podstate v kazdom plugine co sa zakupil a obsahuje súbor Licencia:

/controllers/license/license1.php: {HEX}Malware.Expert.generic.malware.124.UNOFFICIAL FOUND

/controllers/license/license1.php: SecuriteInfo.com.JS.Obfus-1696.UNOFFICIAL FOUND

/controllers/Checklicense.php: {HEX}Malware.Expert.generic.eval.strrot13.gzinflate.strrot13.base64.decode.0.UNOFFICIAL FOUND

/controllers/license/request.php: {HEX}php.generic.malware.444.UNOFFICIAL FOUND

Predajca pluginov tvrdi že je to v poriadku a sú to falošné poplachy, ich vyjadrenie je takéto:

Naše doplnky majú kontrolu licencie na overenie, či inštalácia používa platný licenčný kľúč a nie je pirátskym produktom. Tieto súbory stačí na jeden server zavolať pomocou: licenčného kľúča, názvu modulu a adresy URL webových stránok.
Tieto súbory sú kódované tak, aby piráti nemohli obísť kontrolu licencie. Z dôvodu kódovania týchto súborov ich niektoré hostingové spoločnosti rozpoznajú ako škodlivé. Pokročilý softvér na detekciu škodlivého softvéru nezistí tieto súbory ako škodlivé. V minulosti naši klienti, ktorí čelia tomuto problému, požiadali svoju hostiteľskú spoločnosť o pridanie výnimky pre tieto licenčné súbory, aby neboli zistené ako škodlivé. Preto vám odporúčame požiadať svojho poskytovateľa hostingu, aby urobil to isté.

Keď som subory skontroloval cez VirusTotal nič nenašlo. Ked súbor otvorim je tam nieco takéto eval(str_rot13(gzinflate(str_rot13(base64_decode(kodovaný text) alebo nieco takéto <?php ${"\x47\x4c\x4f\x42A\x4c\x53"}["\x67cof\x70m"]="\x64b\x5f\x73\x65\x6cec\x7
Subory som cez net desifroval, nezdalo sa mi v tom kode nič podozrive, ale nikto z nas nie je programator aby to vedel posudit. Ak súbory odstránim, prestane fungovať plugin, na stranke inak nič podozrivé nevidno. Kazdy zakupeny plugin je na jednu domenu, dostanem licenčný kluč ktory musim zadat v programe a ten potom plugin odomkne.
Teraz preto nevieme čo s tým, či je to v poriadku, a je to pravda co tvrdi predajca, alebo je to umysel nieco skryt? Funguje to takto aj inde? Je to bezny postup?
Dakujem za nejake napady, názor

JanoF · Napísal **JanoF**: 13.04.2020 9:30 | PHP Malware?

v kode mas eval(str_rot13(gzinflate(str_rot13(base64_decode( viac asi ako odpoved nepotrebujes, ci azda ano? ci je infikovany tazko zistime, kedze nevieme co sa v nom presne nachadza, no virusskener vo ws to vyhodnotil ako podozrivy kus kodu a oznacil ze je infikovany, cize im napis nech tam daju vynimku alebo to ignoruj, viac ti asi tazko poradime bez danych suborov aby sme ich videli

Aler02 · Napísal autor témy **Aler02**: 13.04.2020 9:42 | PHP Malware?

Tu je aktualizovaná odpoved od predajcu:

V skutočnosti je tento problém známy na našom konci. Mnoho klientov to nahlásilo. Naše doplnky majú niektoré licenčné súbory v zakódovanej podobe, čo zaisťuje, že súbor doplnkov beží v registrovanej doméne a pre ktoré boli nakonfigurované licencie.

Vďaka ich zakódovanej forme s funkciami PHP ich implementované skenery zistili ako škodlivý softvér. Jediným riešením je, že môžete požiadať svojho hostiteľa, aby vykonal nižšie uvedené úlohy:

- Whitelist všetky licenčné súbory zo skenovania

Tieto licenčné súbory sú prítomné v každom doplnku a nájdete ich pod cestou:

<koreň dokumentu vášho webu> / application / moduly / NÁZOV MODULU / ovládače / licencia [license.php | license1.php atď.]

Pozrite sa na to pomocou svojho poskytovateľa hostingu a dajte nám vedieť svoju ďalšiu aktualizáciu, aby sme vám tu mohli pomôcť presnejšie.

Radia mi presne to iste ako ty, len som možno asi moc paranoidny...

JanoF · Napísal **JanoF**: 13.04.2020 10:52 | PHP Malware?

Ako som pisal vyssie eval(str_rot13(gzinflate(str_rot13(base64_decode( je podozriva cast kodu, nikto normalny v kode taketo kombinacie funkcii nepouziva, nema dovod, jedine co som videl ze podobne blbosti riesia tieto licencie, ci nejaky plateny kod. To je dovod indikacie, ze su subory infikovane, ci ale su skutocne tu nezistime, jedine asi ze by si sem dal cely kod ale inac tazko.

Aler02 · Napísal autor témy **Aler02**: 13.04.2020 18:27 | PHP Malware?

Problém bol vyriešený, jednalo sa o planý poplach. Bolo to preverené. Sú to všetko len kódované licencie ktoré nevytvárajú žiadny nebezpečný kód. Riešil som to cez websupport ako aj predajcami pluginov. Dôvod poplachu je to že je to kódované cez base64 a antivírus to automaticky vyhodnocuje ako vírus, pretože sa môže jednať o nebezpečný kód. Človek začne byť paranoidný, čo zase nie je na zahodenie.
Ďakujem aj JanoF na nasmerovanie, informavanie ma.
Možno to aspoň niekomu pomôže ak narazí na takýto problém ako postupovať.
Tému možno považovať za vyriešenú. Ďakujem

PHP Malware?

PHP Malware?

Podobné témy

Malware

Malware?

Malware

Presmerovavaci malware

Malware cez zásuvku.

Problem s malware

Malware anti-bytes

Malware a Spwyare

Ako zabranit malware?

Udajny malware na facebook

Malware - zbavovanie v servise

Malware alebo niečo iné?

riziko malware na Linuxe

Ewido Anti-malware a DefenseWall

Log z Malwarebytes-Anti-Malware

Malware sa aktualizuje Windows Updatom