Cookie-gesteuerte PHP-Web-Shells: Unauffällige Taktiken auf Linux-Hosts

Zusammenfassung

Bedrohungsakteure missbrauchen HTTP-Cookies als verdeckten „Aktivierungsschlüssel“ für PHP-Webshells auf Linux-Hosting-Servern. Die Implantate bleiben inaktiv, bis ein spezifischer Cookie-Wert bereitgestellt wird, dann dekodieren und führen sie von Angreifern bereitgestellte Payloads aus. Dieser Ansatz hilft, offensichtliche Anzeichen in Routinelogs zu reduzieren, während er persistente Remote-Code-Ausführung ermöglicht. Häufig unterstützende Techniken umfassen mehrschichtige Verschleierung, selbstheilende cron-basierte Prozesse und den Einsatz von Standard-Server-Utilities.

Untersuchung

Forscher überprüften mehrere kompromittierte Hosting-Konten und fanden PHP-Loader, die die Funktionalität nur aus Base64-kodierten Blöcken rekonstruieren, wenn der Trigger-Cookie vorhanden ist. Die Persistenz wurde durch cron-Jobs aufrechterhalten, die über Hosting-Kontrollpanels (wie cPanel) erstellt wurden und die Webshell regelmäßig wiederherstellen, wenn sie entfernt wird. Die Ausführung erfolgte häufig über php-fpm und andere Web-Worker, die Shell-Interpreten aufrufen und sekundäre Payloads abrufen, um den Zugang zu erweitern.

Minderung

Erfordern Sie MFA für Hosting-Kontrollpanels und administrative Zugangspfade. Beschränken Sie Webserver-Prozesse, damit sie keine Shells starten oder gängige Staging-Utilities wie base64, curl oder wget aufrufen können. Überwachen Sie die Erzeugung und Modifikationen von cron genau und alarmieren Sie bei unerwarteten Datei-Schreibvorgängen oder Änderungen innerhalb von Webverzeichnissen. Zusätzliche Härtung umfasst die Einschränkung des Zugangs zu Jail-Shells und die Aktivierung von Echtzeit-Endpunktschutz auf Linux-Servern.

Reaktion

Wenn erkannt, isolieren Sie den Host, deaktivieren und entfernen Sie bösartige cron-Einträge, löschen Sie verdächtige PHP-Artefakte und ändern Sie die Zugangsdaten für betroffene Hosting-Konten. Bewahren Sie Beweise wie Trigger-Cookie-Werte und zugehörige Befehlszeilen auf und überprüfen Sie sie, dann wenden Sie Härtungskontrollen an, um eine erneute Bereitstellung und einen wiederholten Kompromiss zu verhindern.

Simulationsausführung

Voraussetzung: Die Telemetrie & Baseline-Vorab-Prüfung muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der gegnerischen Technik (TTP), die darauf abzielt, die Erkennungsregel auszulösen. Die Befehle und das Narrativ MÜSSEN die identifizierten TTPs direkt widerspiegeln und darauf abzielen, genau die Telemetrie zu erzeugen, die die Erkennungslogik erwartet. Abstrakte oder nicht zusammenhängende Beispiele führen zu Fehldiagnosen.

• Angriffsgeschichte & Befehle:
  Ein Angreifer, der den Webserver bereits kompromittiert hat, erhält eine bösartige PHP-Webshell (schädlich.php). Um sie zu aktivieren, sendet der Angreifer eine HTTP-Anfrage, die einen manipulierten Cookie injiziert. Der PHP-Handler des Webservers interpretiert den Cookie und startet einen Bash-Prozess, der die Webshell-Datei ausführt. Zu Testzwecken simulieren wir denselben Effekt lokal, indem wir Bash manuell mit einer Befehlszeile, die „.php“ enthält, aufrufen. Dies erzeugt die genaue Telemetrie, die die Sigma-Regel überwacht (Shell-Interpreter + „.php“ in der Befehlszeile).

  1. Erstellen Sie eine Dummy-PHP-Webshell (kein schädlicher Code, nur ein harmloses phpinfo() zur Sichtbarmachung).
  2. Führen Sie die Webshell über Bash aus und betten Sie die .php -Dateinamen in die Befehlszeile ein.
  3. Überprüfen Sie, ob das Prozess-Erstellungsereignis in den Audit-Logs mit den erwarteten Feldern erscheint.

• Regressionstest-Skript:

  #!/usr/bin/env bash
  set -euo pipefail
  
  # 1. Bereitstellung einer harmlosen PHP-Datei (simulierte Webshell)
  WEBROOT="/tmp/webshell_test"
  mkdir -p "$WEBROOT"
  cat > "$WEBROOT/malicious.php" <<'EOF'
  
  EOF
  
  # 2. Auslösen der Ausführung über einen Bash-Interpreter (Befehlszeile enthält ".php")
  echo "[*] Webshell über Bash ausführen, um Erkennungstelemetrie zu erzeugen..."
  /bin/bash -c "php $WEBROOT/malicious.php"
  
  # 3. Kurz pausieren, um auditd Zeit zu geben, Logs zu speichern
  sleep 2
  
  echo "[*] Simulation abgeschlossen. Überprüfen Sie das SIEM für einen Treffer zu:"
  echo "    process.name in (bash, sh, dash, jailshell) UND process.command_line enthält '.php'"

• Bereinigungskommandos:

  #!/usr/bin/env bash
  set -euo pipefail
  
  WEBROOT="/tmp/webshell_test"
  
  echo "[*] Test-Webshell-Verzeichnis wird entfernt..."
  rm -rf "$WEBROOT"
  
  echo "[*] Bereinigung abgeschlossen."