바이러스? exploit? php-injection? (gifimg.php)

손님 중에 하나가 자기가 관리하는 사이트에 접속하면 구글에서 나쁜 사이트라고 하여 경고 메시지를 내보낸다고 하는 다급한 연락을 받았다. 

#증상
1. google 에서 This site may be distributing malware. 라며 빨간 화면이 뜬다.
2. google 은 처음 이런 malware 가 보고 되었다고 사이트를 bad site 에 등록하지 않는다. 일반 사용자가 이 사이트가 등록되었을 때에 사용자의 pc 가 다른 사이트에 연결된 script 를 다운로드하게 되고, 이 웹사이트는 다른 웹사이트로 hijack 된다. 대부분의 웹사이트 관리자는 즉시 알아채지 못한다.
3.  간단한 결론을 내려주겠다.
" 당신의 서버는 해킹된 것입니다."
4. 서버를 뒤져보면 모든 디렉토리의 images/ 디렉토리 밑에 어떤 임의의 php 코드가 생긴것을 알아챌수 있다. (asp 서버라면 asp 겠죠.)

images/

sub-directory/images/

이 고객의 서버의 경우에는 밑에 gifimg.php 라는 파일이 생성된다.

php 안의 code 는

#치료

#find . -name gifimg.php -exec rm -f {} \;

-- 컥 내용을 쓰면 google 이 블락해버려서 글을 쓸수가 없다. ^^;; 이메일 주세여.