Backdoor.PHP.DEWMODE.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 マルウェアは、1つあるいは複数の方法によりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、以下の方法によりコンピュータに侵入します。

• It may be delivered by exploiting the following vulnerabilities:
  • CVE-2021-27101
  • CVE-2021-27102
  • CVE-2021-27103
  • CVE-2021-27104

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Download files from victim server
• Delete traces in the system

作成活動

マルウェアは、以下のファイルを作成します。

• /tmp/.scr → temporary file used to delete traces of the malware when requested by the C&C; deleted afterwards.
• /tmp/.out → temporary file used to redirect logging of malware trace deletion; deleted afterwards.

その他

マルウェアは、以下を実行します。

• Once accessed, it will display the list of files existing in the SQL database hosted in the target server
  
• It displays the following if no files are present in the database:
  
• It uses the dropped file /tmp/.scr to delete traces of itself in the server. This dropped file does the following:
  • Remove the line referencing the malware in all of the logs located in "/var/opt/apache".
  • Overwrite the contents of adminpl.log with blanks.
  • Delete malware trace in the machine.
  • Overwrite /var/log/secure with blanks.

マルウェアは、自身の不正活動を実行するために、Webサーバにホストされている必要があります。