최근 여러 사이트에서 이상한 일이 보고되었습니다. WordPress.

문제 데이터 php.php_.php7_.gif

신비한 존재의 모습 .gif 이미지 “엑스” 분홍색 바탕에 검은색. 모든 경우에 파일 이름은 다음과 같습니다. “php.php_.php7_.gif“, 모든 곳에서 동일한 속성을 갖습니다. 흥미로운 점은 이 파일이 특정 사용자/작성자가 업로드한 것이 아니라는 것입니다. “업로드한 사람: (작성자 없음)“.

파일 이름: php.php_.php7_.gif
파일 유형: 이미지/gif
업로드 날짜: 2019년 7월 11일
파일 크기:
치수: 300x300픽셀
제목: php.php_.php7_
업로드한 사람: (저자 없음)

기본적으로 이 .GIF 파일은 스크립트가 포함되어 있습니다은(는) 서버에 업로드됩니다. 현재 업로드 폴더 타임라인에서. 주어진 경우에: /root/wp-content/uploads/2019/07/.
또 다른 흥미로운 점은 서버에 업로드된 기본 파일인 php.php_.php7_.gif를 사진 편집기에서 열 수 없다는 점입니다. 미리보기, Photoshop 또는 기타. 대신에, 썸네일여러 차원에서 WordPress에 의해 자동으로 만들어진 (아이콘)은 완벽하게 작동하는 .gif 파일이며 열 수 있습니다. 에이 “엑스” 분홍색 바탕에 검정색.

그게 뭐야 “php.php_.php7_.gif” 의심스러운 파일을 어떻게 제거할 수 있나요?

이 파일을 삭제할 가능성이 가장 높습니다. 맬웨어 / 바이러스, 우리가 그것에만 국한한다면 그것은 해결책이 아닙니다. 확실히 php.php_.php7_.gif는 합법적인 WordPress 파일이 아니거나 플러그인으로 생성된 파일이 아닙니다.
웹 서버에서는 매우 쉽게 식별할 수 있습니다.Linux 맬웨어가 감지됩니다  설치되었습니다. 안티 바이러스/안티 맬웨어 프로세스 “슬로프” 즉시 다음 유형의 바이러스로 감지되었습니다. “{YARA}php_in_image“

FILE HIT LIST:
{YARA}php_in_image : /web/blog/public_html/wp-content/uploads/2019/07/php.php_.php7_.gif

하나쯤 가지고 있는 것이 좋습니다 웹 서버의 바이러스 백신을 업데이트해야 합니다.. 또한 바이러스 백신은 웹 파일의 변경 사항을 영구적으로 모니터링하도록 설정되어야 합니다.
워드프레스 버전 그리고 모두 모듈(플러그인)도 업데이트해야 합니다.. 내가 본 바로는 모든 WordPress 사이트가 다음 바이러스에 감염되었습니다. php.php_.php7_.gif 공통 요소로 플러그인이 있습니다 “WP 검토“. 최근에 업데이트를 받은 플러그인으로, 변경 로그에서 다음을 찾을 수 있습니다. 취약점 문제 수정.

이 악성 코드의 영향을 받은 사이트 중 하나의 error.log에서 다음 줄이 발견되었습니다.

2019/07/11 13:08:10 [error] 25084#25084: *44118905 FastCGI sent in stderr: "PHP message: PHP Warning: array_filter() expects parameter 1 to be array, null given in /home/www/website.tld/public/wp-content/plugins/wp-review/includes/ajax.php on line 36" while reading response header from upstream, client: IP.IP.IP.IP, server: website.tld, request: "GET /wp-admin/admin-ajax.php?action=wpr-upload-comment-image HTTP/1.1", upstream: "fastcgi://127.0.0.1:9000", host: "website.tld", referrer: "website.tld"

이 플러그인을 통해 가짜 이미지가 업로드된 것이 아닌가 하는 생각이 듭니다. PORT fastcgi 오류에서 처음 나타나는 오류입니다.
중요한 언급은 이 바이러스/WordPress 악성 코드가 실제로 서버의 PHP 버전을 고려하지 않는다는 것입니다. 둘 다에서 찾았어요PHP 5.6.40 뿐만 아니라PHP 7.1.30.

이 기사는 다음에 존재하는 악성코드 파일 php.php_.php7_.gif에 대해 더 자세히 알게 되면 업데이트될 것입니다. 메디아 →도서관.