Che cosa accade quando un programmatore scrive applicazioni affette da bugs o quando un server viene privato della necessaria manutenzione? E quali possono essere le conseguenze dell’aver impostato una password ftp troppo debole? Tra le vulnerabilità più pericolose che possono affliggere un server vi sono quelle che permettono ad un attaccante di caricare file in modo non autorizzato sullo spazio ftp che ospita uno o più siti web. Questo tipo di violazioni avvengono molto spesso a causa di cattive abitudini di programmazione, con ad esempio un’applicazione web codificata male che potrebbe permettere ad un soggetto esterno di bypassare le policy di sicurezza e di eseguire l’upload di un file maligno sullo spazio web dell’utente. Tra le categorie più pericolose di malware in formato PHP vi sono i Remote admin e le shell PHP. Tra gli ultimi campioni di script maligni recuperati su server infetti abbiamo analizzato due strumenti molto pericolosi che possono mettere a nudo un server lasciando mano libera all’attaccante…
Remote Admin
Gli script remote admin (clicca sulle immagini per ingrandire) costituiscono un’arma pericolossisima che un attaccante può utilizzare per avere letteralmente il pieno controllo di un sito web. Un remote admin consente di eseguire praticamente qualsiasi operazione sui file contenuti nello spazio web come l’upload, la modifica, la creazione, la cancellazione e la rinominazione di file e directory. Pensate al pericolo che uno script come questo può costituire per un sito di ecommerce.
La caratteristica più “interessante” e pericolosa offerta da strumenti come questo consiste nella possibilità di modificare direttamente via browser il codice php del sito web colpito dall’infezione consentendo l’alterazione totale della struttura dell’applicazione.
Gli script PHP maligni possono risultare quasi invisibili al webmaster di un sito web in quanto riescono a celarsi dietro nomi abbastanza innocui. Spesso solo una scansione approfondita con strumenti adeguati può individuare questo tipo di minacce consentendone l’identificazione e la successiva eliminazione.
Nel prossimo post ci occuperemo delle shell PHP, presentando uno dei campioni recuperati su un server infetto.
Pingback: PHP Shell e mailer, malware in Php « Servizi managed e gestione server – servermanaged.it blog
Pingback: Wordpress e timthumb.php, rischi, difese e risoluzione [parte I] | Servizi managed e gestione server – Il blog di Servermanaged.it