Web Shells PHP Controladas por Cookie: Técnicas Furtivas em Hospedagem Linux

Resumo

Atores de ameaça estão abusando de cookies HTTP como uma “chave de ativação” oculta para web shells PHP em servidores de hospedagem Linux. Os implantes permanecem inativos até que um valor específico de cookie seja fornecido, então decodificam e executam cargas úteis fornecidas pelo atacante. Essa abordagem ajuda a reduzir indicadores óbvios em logs rotineiros, enquanto possibilita a execução remota de código persistente. Técnicas de suporte comuns incluem ofuscação em camadas, autorrecuperação baseada em cron e uso de utilitários padrão do servidor.

Investigação

Pesquisadores revisaram várias contas de hospedagem comprometidas e encontraram carregadores PHP que apenas reconstróem a capacidade a partir de blobs codificados em Base64 quando o cookie de gatilho está presente. A persistência foi mantida por meio de tarefas cron criadas via painéis de controle de hospedagem (como o cPanel) que periodicamente restauram o web shell se ele for removido. A execução geralmente seguia através do php-fpm e outros trabalhadores web, que acionavam interpretadores de shell e buscavam cargas úteis secundárias para estender o acesso.

Mitigação

Exigir MFA para painéis de controle de hospedagem e caminhos de acesso administrativos. Restringir processos do servidor web para que não possam iniciar shells ou invocar utilitários de estágio comuns como base64, curl, ou wget. Monitorar a criação e mudanças de cron de perto, e alertar sobre gravações ou alterações de arquivos inesperadas dentro de diretórios web. Reforço adicional inclui restringir o acesso à shell de prisão e ativar proteções em tempo real em servidores Linux.

Resposta

Se identificado, isolar o host, desabilitar e remover entradas cron maliciosas, deletar artefatos PHP suspeitos e rotacionar credenciais para contas de hospedagem afetadas. Preservar e inspecionar evidências, incluindo valores de cookies de gatilho e linhas de comando associadas, então aplicar controles de reforço para prevenir reimplantação e reconquista.

Execução da Simulação

Pré-requisito: O Check de Telemetria e Linha de Base Pré-voo deve ter passado.

Justificativa: Esta seção detalha a execução precisa da técnica adversária (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente os TTPs identificados e visar a gerar a telemetria exata esperada pela lógica de detecção. Exemplos abstratos ou não relacionados levarão a um diagnóstico incorreto.

• Narrativa do Ataque e Comandos:
  Um atacante que já comprometeu o servidor web obtém um webshell PHP malicioso (malicious.php). Para ativá-lo, o atacante emite uma solicitação HTTP que injeta um cookie personalizado. O manipulador PHP do servidor web interpreta o cookie e inicia um processo Bash que executa o arquivo do webshell. Para teste, simulamos o mesmo efeito localmente, invocando manualmente o Bash com uma linha de comando que inclui “.php”. Isso produz a telemetria exata que a regra Sigma monitora (interpretador de shell + “.php” na linha de comando).

  1. Criar um webshell PHP fictício (sem código prejudicial, apenas um phpinfo() inofensivo para visibilidade).
  2. Execução do webshell via Bash, incorporando o .php nome de arquivo na linha de comando.
  3. Verificar que o evento de criação de processo aparece nos logs de auditoria com os campos esperados.

• Script de Teste de Regressão:

  #!/usr/bin/env bash
  set -euo pipefail
  
  # 1. Implantar um arquivo PHP inofensivo (webshell simulado)
  WEBROOT="/tmp/webshell_test"
  mkdir -p "$WEBROOT"
  cat > "$WEBROOT/malicious.php" <<'EOF'
  
  EOF
  
  # 2. Acionar execução via um interpretador Bash (linha de comando contém ".php")
  echo "[*] Executando webshell via Bash para gerar telemetria de detecção..."
  /bin/bash -c "php $WEBROOT/malicious.php"
  
  # 3. Pausar brevemente para permitir que auditd descarregue logs
  sleep 2
  
  echo "[*] Simulação completa. Verifique o SIEM para uma correspondência em:"
  echo "    process.name in (bash, sh, dash, jailshell) E process.command_line contém '.php'"

• Comandos de Limpeza:

  #!/usr/bin/env bash
  set -euo pipefail
  
  WEBROOT="/tmp/webshell_test"
  
  echo "[*] Removendo diretório de webshell de teste..."
  rm -rf "$WEBROOT"
  
  echo "[*] Limpeza completa."