Nel precedente post dedicato alle categorie di malware sotto forma di PHP abbiamo visto la tipologia dei remote admin, veri e propri file manager al servizio dei cracker che permettono di eseguire qualsiasi azione malevola sul server infetto come la cancellazione e l’alterazione di file oltre alla modifica diretta del codice sorgente dell’applicazione colpita. Esiste però una categoria di malware ancora più pericolosa, si tratta delle shell Php.
Le shell PHP sfruttano le vulnerabilità di un applicativo web e gli errori di configurazione dei server oltre alla debolezza degli account ftp per installarsi sul sistema e divenire da quel momento una porta d’accesso che l’attaccante può utilizzare per compiere le più svariate azioni distruttive sul server colpito. Avere una shell PHP attiva su un server significa consegnare nelle mani dell’attaccante il controllo quasi totale del sistema. Le funzioni incluse in questi pericolosi tool consentono di alterare i permessi e le proprietà dei file, di estrarre dati dai database e di cancellare o caricare file sul server colpito. La differenza sostanziale tra shell PHP e remote admin è abbastanza sfumata. Entrambi i tool permettono di eseguire funzioni potenzialmente letali per l’intero server. L’efficacia e l’impatto di un’infezione da malware dipende comunque strettamente dalla configurazione globale della macchina colpita… Continue reading