Phpstudy后门植入事件预警更新

      一、基本情况

2016年发布的phpstudy版本存在恶意植入后门。攻击者利用该后门远程控制抓取账号密码等计算机数据并回传大量敏感信息。官方已公布漏洞检测和修复工具，请尽快自检并修复。

      二、攻击原理

北京时间9月20日，杭州公安发布《杭州警方通报打击涉网违法犯罪暨‘净网2019’专项行动战果》一文，文章曝光了国内知名PHP调试环境程序集成包“PhpStudy软件”遭到黑客篡改并植入“后门”。截至案发，近百万PHP用户中超过67万用户已被黑客控制，并大肆盗取账号密码、聊天记录、设备码类等敏感数据多达10万多组，非法牟利600多万元。

值得注意的是，经最新监测发现，被篡改的软件版本并不单单是官方通告的PhpStudy2016版本中的Php5.4版本，而是在PhpStudy 2016版和2018版两个版本中均同时被发现有“后门”文件的存在，并且影响部分使用PhpStudy搭建的Php5.2、Php5.3和Php5.4环境。虽然目前官方软件介绍页面中的下载链接已经失效，但在官网历史版本中仍能下载到。除了官网外，一些下载站提供的相同版本的PhpStudy也同样“不干净”。

通过进一步深度溯源，确认绝大多数后门位于PhpStudy目录下的“php\php-5.4.45\ext\php_xmlrpc.dll”文件和“\php\php-5.2.17\ext\php_xmlrpc.dll”文件中，不过也有部分通过第三方下载站下载的PhpStudy后门位于“\php53\ext\php_xmlrpc.dll”文件中。通过查看字符串可以发现文件中出现了可疑的“eval”字符串。

“eval”字符串所在的这段代码通过PHP函数gzuncompress解压位于偏移0xd028到0xd66c处的shellcode并执行。

经过解压之后的shellcode如下图所示，shellcode中经过base64编码的内容即为最终的后门。

最终的后门请求C&C地址360se.net，执行由C&C返回的内容，目前该地址已无法正常连接。

虽然在杭州网警专案组的行动下，已经分别在海南、四川、重庆、广东分别将马某、杨某、谭某、周某某等7名犯罪嫌疑人缉拿，不过经360安全大脑的关联分析，目前网络中仍然有超过1700个php_xmlrpc.dll文件存在“后门”。

      三、影响范围

后门植入版本：

1）PhpStudy2016

2）PhpStudy2018

      四、 处置建议

官方网站已公布漏洞检测和修复工具，请前往官网下载自检并修复：

https://www.xp.cn/

      五、 参考链接

https://www.xp.cn