文章总结： 一名孟加拉国大学生为赚取学费开发并出售名为白码的PHPwebshell，该工具能完全绕过VirusTotal等安全检测工具，已入侵5200多个政府教育网站。该学生通过Telegram市场出售被入侵网站访问权限，普通网站售价3-4美元，而高价值目标可达200美元。主要客户是中国威胁行为者，这一案例反映了网络犯罪门槛降低的趋势，发展中国家自由职业者正成为高级威胁组织的供应链。
综合评分： 88
文章分类： 漏洞分析,威胁情报,WEB安全,应急响应,安全意识
大学生为赚学费出售”白码”无检测Webshell，已入侵5200余个政府/教育网站
FreeBuf
2025年12月9日 13:14
上海
安全研究人员发现了一起规模庞大的僵尸网络活动，其幕后黑手并非国家资助的APT组织，而是一名试图赚取学费的孟加拉国大学生。
Cyderes Howler Cell逆向工程团队的最新报告详细披露了”白码”（Beima）PHP webshell的发现过程。这种隐蔽的定制后门程序在一年多时间里成功避开了VirusTotal扫描器的检测，同时入侵了数千个政府和教育网站。
Part01
从Telegram市场追踪到的入侵链
调查始于研究人员追踪一条多重感染后门链至Telegram交易市场。他们在该平台发现一名活跃卖家，专门出售被入侵的WordPress和cPanel实例访问权限。
报告指出：”我们已确认其中一名黑客是孟加拉国的学生。团队已与该黑客取得联系，他声称出售网站访问权限是为了支付学费。”
Part02
经济困境催生的网络犯罪
这一案例凸显了经济困境与技术机遇交织的新趋势。在孟加拉国（月薪中位数约220美元），这名学生发现了有利可图的灰色产业。普通被入侵网站的售价仅为3-4美元，而政府（.gov）和教育（.edu）领域的高价值目标每个访问权限可卖到200美元。
Part03
完全规避检测的”白码”Webshell
该行动的核心是具备出色规避能力的”白码”PHP Webshell。尽管自2024年5月以来持续活跃，它仍能逃过主流杀毒引擎的检测。
Cyderes团队强调：”该学生黑客使用的’白码PHP’webshell目前完全无法被现代安全工具（包括VirusTotal）检测到。”该工具通常通过配置不当的WordPress端点安装，可为买家提供绝对控制权：”攻击者能实现完整的远程代码执行、提取敏感数据，并将受感染服务器纳入僵尸网络。”
Part04
国际化犯罪网络运作
虽然卖家位于孟加拉国，但客户群体主要来自国际。报告显示，该学生使用僵尸网络控制面板”向买家分发新入侵的网站，主要客户是中国威胁行为者”。
该组织运作高度专业化。Webshell通过加密JSON载荷与C2服务器（tool.zjtool[.]top）通信，支持doBeima（向随机目录部署恶意文件）和doLock（验证执行）等复杂指令。
Part05
主要针对高信任度域名
入侵规模相当可观，研究人员在地下市场发现约5,200个待售网站。攻击目标具有高度针对性，高信任度域名是首要目标。
报告披露：”政府和教育部门是主要攻击目标，占待售被入侵网站的76%。”
Part06
网络犯罪门槛持续降低
“白码”行动鲜明揭示了网络犯罪门槛的持续降低，暴露出一个”去中心化且利益驱动的市场”——发展中国家的自由职业者正在成为高级威胁组织的供应链。
正如研究人员总结：”对’白码PHP’Webshell活动的调查揭示了一个组织严密、不断发展的地下自由职业生态系统，支撑着亚洲地区不可检测Webshell的交易与运作。”
参考来源：
Undetectable Beima Webshell Sold by College Student for Tuition Hijacks 5,200+ Gov/Edu Websites
Undetectable Beima Webshell Sold by College Student for Tuition Hijacks 5,200+ Gov/Edu Websites
#
#
#
推荐阅读
#
电台讨论
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：FreeBuf 《大学生为赚学费出售”白码”无检测Webshell，已入侵5200余个政府/教育网站》