新發(fā)現(xiàn)的惡意軟件針對Magento電商，并具備自恢復(fù)功能，可在被刪除后恢復(fù)自身。自恢復(fù)惡意軟件不是什么新鮮事物，近30年前就有類似威脅被曝光。這第一例自恢復(fù)惡意軟件名為“揚基曲( Yankee Doodle，非正式美國第二國歌 )”，是一款駐留內(nèi)存的木馬，可感染.com和.exe文件。該惡意軟件于1989年9月被發(fā)現(xiàn)，只要進(jìn)駐內(nèi)存，便會在每天下午5點鐘播放《揚基曲》。 　　最近剛被發(fā)現(xiàn)的Magento電商惡意軟件，使用了數(shù)據(jù)庫觸發(fā)器來在被刪除時恢復(fù)自身：每次觸發(fā)新指令，注射進(jìn)去的SQL代碼都將搜索被感染Magento安裝，只要沒找到該惡意軟件，就再添加一次。該惡意軟件利用SQL存儲過程來實現(xiàn)該操作。 　　據(jù)分析了該威脅的研究人員稱，感染點是對/rss/catalog/notifystock/的暴力攻擊，也就是被入侵電商沒有完全補上補丁的地方。 　　該惡意軟件會讓之前的清除流程無效化，因為從被感染記錄中清除掉惡意代碼并不能保證感染從此消除。常規(guī)清除流程只對普通的JavaScript惡意軟件有效，畢竟普通JavaScript惡意軟件通常只注入到數(shù)據(jù)庫中靜態(tài)HTML定義的頭部或尾部。 　　新發(fā)現(xiàn)的惡意軟件，則會確保自恢復(fù)觸發(fā)器在每個新指令執(zhí)行時，都會被執(zhí)行一遍?！安樵儠z查該惡意軟件在頭部、尾部、版權(quán)和每個內(nèi)容管理軟件(CMS)塊中的存在情況，如果沒發(fā)現(xiàn)其存在，就會重新添加一遍自身?！卑踩芯咳藛T解釋稱。 　　發(fā)現(xiàn)該惡意軟件的安全研究人員認(rèn)為，如今，惡意軟件檢測應(yīng)包含進(jìn)數(shù)據(jù)庫分析，因為文件掃描已不再有效?！霸摪l(fā)現(xiàn)顯示出，我們遭遇了惡意軟件進(jìn)化的新階段。” 　　雖然Magento和一些社區(qū)擴展包含了合法觸發(fā)器，Magento商店的擁有者應(yīng)該能夠通過搜索可疑SQL代碼，來檢測該惡意軟件，比如包含有admin、.js或HTML標(biāo)簽‘<’的一些東西。 　　該研究人員更新了其惡意軟件掃描器以檢測該新模式，并提供了Magento安裝中發(fā)現(xiàn)可疑代碼后的清除指南。網(wǎng)站測試社區(qū)MageReport.com也更新了該新模式的信息。