Startseite > Office & Kommunikation > Spambot "StealRat" aufspüren und beseitigen

Kompromittierte Websites

Spambot "StealRat" aufspüren und beseitigen

12. August 2013, 15:37 Uhr | Quelle: Trend Micro

Fortsetzung des Artikels von Teil 1

Bösartigen Code aufspüren

Prinzipiell gibt es zwei Möglichkeiten für die Website-Administratoren, die Infektion zu erkennen. Erstens können sie gezielt nach den bösartigen PHP-Dateien suchen, die in der Regel die Namen „sm13e.php“ und „sm14e.php“ aufweisen. Bei der letzteren handelt es sich um die aktuellste Version des Schädlings.

Da die PHP-Datei aber auch andere Bezeichnungen tragen kann, empfiehlt es sich, nach allen unbekannten und verdächtigen PHP-Dateien Ausschau zu halten und diese zu löschen. Um ganz sicher zu gehen, sollte aber auch nach den folgenden bösartigen Code-Elementen gefahndet werden:

die(PHP_OS.chr(49).chr(48).chr(43).md5(0987654321)
die(PHP_OS.chr(49).chr(49).chr(43).md5(0987654321)

Nach diesen Strings lässt sich unter Linux mit Hilfe des grep-Befehls grep “die(PHP_OS.chr(49).chr(48).chr(43).md5(0987654321“ /path/to/www/folder/ suchen, während unter Windows der Suchbegriff content:“die(PHP_OS.chr(49).chr(48).chr(43).md5(0987654321“ lautet.

Trend Micro hat außerdem vor kurzem ein Forschungspapier zu dem Spambot Steal-Rat veröffentlicht, das online abrufbar ist und die Funktionsweise sowie Einzelkomponenten dieser Bedrohung detailliert untersucht.