CryptoPHP: Hinterlistiger Schadcode hat zehntausende Server infiziert

Ein neuer PHP-Schadcode wurde entdeckt. Über 23.000 Webserver sind bereits infiziert. Der PHP-Schadcode wird über raubkopierte Themes und Plug-ins für bekannte Content-Management-Systeme (CMS) wie Drupal, WordPress oder Joomla verteilt. Laut der Sicherheitsfirma Fox-IT werden Webserver, die mit CryptoPHP infiziert sind, Teil eines Botnetz, das Such-Ergebnisse für unseriöse Webseiten verbessert. Auf den infizierten Server wird über ein "include()"-Statement eine angebliche PNG-Datei eingebunden. Das PNG-Bild ist allerdings versteckter PHP-Code.

Die Sicherheitsfirma Fox-IT hat ein ein Python Skript bereitgestellt, mit dem man den eigenen Server auf Infektionen mit CryptoPHP prüfen kann:
https://github.com/fox-it/cryptophp/tree/master/scripts

Gruß
Frank

http://www.heise.de/open/meldung/CryptoPHP-Hinterlistiger-Schadcode-hat ...

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-ID: 256476

Url: https://administrator.de/forum/cryptophp-hinterlistiger-schadcode-hat-zehntausende-server-infiziert-256476.html

Ausgedruckt am: 07.04.2025 um 01:04 Uhr

9 Kommentare

Neuester Kommentar

Mehr gibt's dazu nicht zu sagen

?

Sollte ich das verstehen?
Haha über die Schadsoftware oder haha über die, die es erwischt hat?

Gruß
Frank

Naja... da steht:

Zitat von @Frank:

Der PHP-Schadcode wird über raubkopierte Themes und Plug-ins für bekannte Content-Management-Systeme (CMS) wie Drupal, WordPress oder Joomla verteilt.

Wer raubkopierte Themes und Plug-ins nutzt, hat es meiner Meinung nicht besser verdient. Ich hätte vielleicht nicht "Haha" gesagt, aber Mitleid habe ich da auch nicht.

Hi,

naja, so würde ich das nicht lesen. Der Absatz mit dem "raubkopierten" Themen hat mich bei Heise aber auch sehr irritiert. Hier mal der Originaltext von Fox-IT:

By publishing pirated themes and plug-ins free for anyone to use instead of having to pay for them, the CryptoPHP actor is social engineering site administrators into installing the included backdoor on their server.

Das könnte auch heißen, das jemand die kostenpflichtige "Themes" einfach nur frei veröffentlicht hat. Diejenigen, die sie dann heruntergeladen haben, wussten evtl. gar nicht, das es mal kostenpflichtige "Themes" waren. Ich könnte das z.B. nicht unterscheiden.

Gruß
Frank

Wer raubkopierte Themes und Plug-ins nutzt, hat es meiner Meinung nicht besser verdient

Genau das sollte das Bild ausdrücken

Hi,

wie schon erwähnt, glaube ich nicht, das die User wirklich wussten, dass es raubkopierte "Themes" oder "Plugins" waren.

Gruß
Frank

Stimmt.

Die Originalnachricht kann auch bedeuten, dass derjenige, der das raubkopierte Theme nutzt garnicht wusste, dass es raubkopiert war.

Naja, bei Uberspace im Blog (https://blog.uberspace.de/immer-arger-mit-gestohlenen-themes/) wird beschrieben, dass die Quelle meist Websites a la "nullified", "wp-nulled" etc ist. Wer über solche Seiten Themes herunterlädt, sollte mMn schon wissen, worauf er sich einlässt...

Viele Grüße
Eagle2