ich möchte euch vor einem "neuen" Malware Bot warnen.
Meine Seite wurde heute als Malware marktiert und ich habe mich sofort auf die Suche begeben. Ich habe dann schnell gefunden, dass alle "<?php" durch:
<?php eval(base64_decode("Cg.......X0="));
ersetzt wurden. Also erstmal schnell geschaut was das script macht:
Damit es nicht schnell auffliegt passiert garnichts wenn man die Seite betritt. Kommt man allerdings mit dem Refer Goolge oder Facebook oder andere Suchemaschine auf die Seite, wird man auf eine Spam Seite weitergeleitet...
Das Script hatte an die 100 PHP Dateien befallen. Nachdem die alle händisch gecleant wurden, habe ich alle Passwörter geändert aber mir gedacht, dass es daran eigentlich nicht gelegen haben kann.
Ich habe dann die Server Logdateien durchgeschaut und per Zufall wirklich was schönes gefunden. erstaunlicherweise aber schon mehrere Wochen alt:
2011-07-04 07:50:29 XXX XXX XXX GET /scripts/setup.php - 80 - 80.87.128.81 HTTP/1.1 - - - www.XXX.de 404 0 2 1838 152 109
2011-07-04 07:50:30 XXX XXX XXX GET /admin/scripts/setup.php - 80 - 80.87.128.81 HTTP/1.1 - - - www.XXX.de 404 0 3 1838 158 140
2011-07-04 07:50:30 XXX XXX XXX GET /admin/pma/scripts/setup.php - 80 - 80.87.128.81 HTTP/1.1 - - - www.XXX.de 404 0 3 1838 162 93
2011-07-04 07:50:30 XXX XXX XXX GET /admin/phpmyadmin/scripts/setup.php - 80 - 80.87.128.81 HTTP/1.1 - - - www.XXX.de 404 0 3 1838 169 140
2011-07-04 07:50:31 XXX XXX XXX GET /db/scripts/setup.php - 80 - 80.87.128.81 HTTP/1.1 - - - www.XXX.de 404 0 3 1838 155 171
2011-07-04 07:50:31 XXX XXX XXX GET /dbadmin/scripts/setup.php - 80 - 80.87.128.81 HTTP/1.1 - - - www.XXX.de 404 0 3 1838 160 125
2011-07-04 07:50:31 XXX XXX XXX GET /myadmin/scripts/setup.php - 80 - 80.87.128.81 HTTP/1.1 - - - www.XXX.de 404 0 3 1838 160 156
2011-07-04 07:50:32 XXX XXX XXX GET /mysql/scripts/setup.php - 80 - 80.87.128.81 HTTP/1.1 - - - www.XXX.de 404 0 3 1838 158 156
2011-07-04 07:50:32 XXX XXX XXX GET /mysqladmin/scripts/setup.php - 80 - 80.87.128.81 HTTP/1.1 - - - www.XXX.de 404 0 3 1838 163 109
2011-07-04 07:50:32 XXX XXX XXX GET /typo3/phpmyadmin/scripts/setup.php - 80 - 80.87.128.81 HTTP/1.1 - - - www.XXX.de 404 0 3 1838 169 125
2011-07-04 07:50:33 XXX XXX XXX GET /phpadmin/scripts/setup.php - 80 - 80.87.128.81 HTTP/1.1 - - - www.XXX.de 404 0 3 1838 161 125
2011-07-04 07:50:39 XXX XXX XXX GET /phpMyAdmin/scripts/setup.php - 80 - 80.87.128.81 HTTP/1.1 - - - www.XXX.de 200 0 64 8624 163 906
Es kann sein, dass noch mehr Varianten durchprobiert werden aber bei mir existierte die Datei: /phpMyAdmin/scripts/setup.php
Scheinbar hat er erstmal ausgelesen auf welchen Seiten es wo die passende Script Datei gibt.
Vorgestern gab es dann an paar POST sendungen an die entsprechende Datei und schon was das Script in meinem System injeziert.
Betroffen ist dabei phpMyAdmin 2.11.6 und es ist nicht ausversehen eine nicht gelöschte setup Datei. Ich habe keine Ahnung warum es in dieser Version überhaupt eine Setup Datei gibt, allerdings hat sie ganz offenbar eine Sicherheitslücke.
(Ich habe übrigens einen Honeypot gebaut um zu schauen was an diese Seite per POST gesendet wird)
Also prüft mal eure Seiten und auch wenn ihr für phpMyAdmin passwörter und zugänge habt, sichert es lieber noch mit einem htaccess Schutz ab.
Weiß jemand wielang die Google prüfung dauert? Habe schon vor 5 Stunden angegeben, dass die Seite wieder Clean ist.
Viele Grüße
Alex
//EDIT
Achso und an den Webmaster von dem Forum hier. Ich habe eine Funktion programmiert die zu lange Wörter automatisch umbricht damit das ganze nicht aussieht wie hier
Kannst dich melden wenn du sie haben möchtest.
wie gesagt das ist ja nichts für den laufenden Server betrieb