PHP_SIMPLESHELL.H

マルウェアは、サーバへのアクセス権を獲得した後、Webサーバにアップロードおよびインストールされる可能性があります。

このPHPスクリプトがインストールされると、不正リモートユーザは、感染したコンピュータ上でバックドアを立ち上げます。

ページを開くと、不正リモートユーザには、ユーザインターフェイス（UI）が表示されます。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

マルウェアは、ユーザインターフェイス（UI）を使用します。

侵入方法

マルウェアは、以下の方法でコンピュータに侵入します。

• May be uploaded and installed/hosted on a web server by a remote malicious user after gaining access to the server
• May arrive on a web server as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Perform arbitrary remote shell commands (Prints output to browser if applicable)
• Upload arbitrary files to the server
• Create or Modify .htacccess file to the following configuration:
  • 
• Rename itself to {web server root directory}\info.php

作成活動

マルウェアは、以下のファイルを作成します。

• {web server root directory}\wp-indeks.php <- detected as PHP_SIMPLESHELL.HA
  (Note: Can be accessed separately on another browser tab or window)

情報漏えい

マルウェアは、以下の情報を収集します。

• web server safe_mode status
• web host URL
• web host server address
• remote user server address

情報収集

マルウェアは、SMTPを用いて、自身が収集した情報を以下のEメールアドレスに送信します。

• {BLOCKED}ina_1@yahoo.com

その他

マルウェアは、以下のUIを使用します。

マルウェアは、以下の方法でコンピュータに侵入します。

• サーバへのアクセス権を獲得した後、不正リモートユーザによりWebサーバにアップロードおよびインストール/ホストされる可能性があります。
• 他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入する可能性があります。

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• 任意のリモートシェルコマンドの実行（可能であれば、出力をブラウザに表示）
• 任意のファイルをサーバにアップロード
• 以下の環境設定に“.htacccess”ファイルを作成または改変
  
  
• 自身を”{web server root directory}\info.php”に改称

マルウェアが作成する以下のファイルは、「PHP_SIMPLESHELL.HA」として検出されます。

• {web server root directory}\wp-indeks.php
  (駐: 別のブラウザのタブまたはウィンドウ上で個別に接続されます。)

マルウェアは、以下の情報を収集します。

• Webサーバのセーフモードの状態
• WebホストのURL
• Web ホストのサーバアドレス
• リモートユーザのサーバアドレス

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。