Web Shells de PHP Controladas por Cookies: Técnicas de Sigilo en Hosts Linux

Resumen

Los actores de amenazas están abusando de las cookies HTTP como una “clave de activación” encubierta para los web shells PHP en servidores de alojamiento Linux. Los implantes permanecen inactivos hasta que se proporciona un valor específico de cookie, luego decodifican y ejecutan cargas útiles proporcionadas por el atacante. Este enfoque ayuda a reducir indicadores obvios en los registros rutinarios, al tiempo que permite la ejecución remota y persistente de código. El comercio de apoyo común incluye ofuscación en capas, autocuración basada en cron y el uso de utilidades estándar del servidor existentes.

Investigación

Los investigadores revisaron múltiples cuentas de alojamiento comprometidas y encontraron cargadores PHP que solo reconstruyen la capacidad a partir de bloques codificados en Base64 cuando la cookie de activación está presente. La persistencia se mantuvo a través de trabajos cron creados a través de paneles de control de alojamiento (como cPanel) que restablecen periódicamente el web shell si se elimina. La ejecución comúnmente fluía a través de php-fpm y otros trabajadores web, que generaban intérpretes de shell y obtenían cargas útiles secundarias para extender el acceso.

Mitigación

Requieran MFA para paneles de control de alojamiento y rutas de acceso administrativas. Limiten los procesos del servidor web para que no puedan generar shells o invocar utilidades comunes de preparación como base64, curl o wget. Monitoreen de cerca la creación y modificaciones de cron, y alerten sobre escrituras de archivos inesperadas o cambios dentro de los directorios web. El endurecimiento adicional incluye restringir el acceso de shell enjaulado y habilitar protecciones en tiempo real en servidores Linux.

Respuesta

Si se identifica, aísle el host, deshabilite y elimine entradas cron maliciosas, elimine artefactos PHP sospechosos y rote las credenciales para las cuentas de alojamiento afectadas. Conserven y revisen la evidencia, incluidos los valores de cookie de activación y las líneas de comando asociadas, luego apliquen controles de endurecimiento para evitar la reimplementación y el compromiso reiterado.

Ejecución de Simulación

Prerrequisito: La Verificación Previa de Telémetria y Línea Base debe haber pasado.

Racional: Esta sección detalla la ejecución precisa de la técnica del adversario (TTP) diseñada para activar la regla de detección. Los comandos y la narrativa DEBEN reflejar directamente los TTP identificados y pretender generar la telémétrica exacta esperada por la lógica de detección. Ejemplos abstractos o no relacionados conducirán a un diagnóstico erróneo.

• Narrativa de Ataque y Comandos:
  Un atacante que ya ha comprometido el servidor web obtiene un webshell PHP malicioso (malicioso.php). Para activarlo, el atacante emite una solicitud HTTP que inyecta una cookie creada. El manejador de PHP del servidor web interpreta la cookie y genera un proceso Bash que ejecuta el archivo del webshell. Para pruebas, simulamos el mismo efecto localmente invocando manualmente Bash con una línea de comandos que incluye “.php”. Esto produce la telemetría exacta que la regla Sigma monitorea (intérprete de shell + “.php” en la línea de comandos).

  1. Crear un webshell PHP de prueba (sin código dañino, solo un inofensivo phpinfo() para visibilidad).
  2. Ejecutar el webshell vía Bash, embebiendo el .php nombre de archivo en la línea de comandos.
  3. Verifique que el evento de creación de procesos aparezca en los registros de auditoría con los campos esperados.

• Script de Prueba de Regresión:

  #!/usr/bin/env bash
  set -euo pipefail
  
  # 1. Despliegue un archivo PHP inofensivo (webshell simulado)
  WEBROOT="/tmp/webshell_test"
  mkdir -p "$WEBROOT"
  cat > "$WEBROOT/malicious.php" <<'EOF'
  <?php
  // Webshell simulado – carga útil segura
  echo "Webshell ejecutado en " . date('c') . "n";
  ?>
  EOF
  
  # 2. Activar la ejecución a través de un intérprete Bash (la línea de comandos contiene ".php")
  echo "[*] Ejecutando webshell vía Bash para generar telemetría de detección..."
  /bin/bash -c "php $WEBROOT/malicious.php"
  
  # 3. Pausa brevemente para permitir que auditd vacíe los registros
  sleep 2
  
  echo "[*] Simulación completa. Revise SIEM para una coincidencia en:"
  echo "    process.name en (bash, sh, dash, jailshell) Y process.command_line contiene '.php'"

• Comandos de Limpieza:

  #!/usr/bin/env bash
  set -euo pipefail
  
  WEBROOT="/tmp/webshell_test"
  
  echo "[*] Eliminando directorio de prueba de webshell..."
  rm -rf "$WEBROOT"
  
  echo "[*] Limpieza completa."