Webshells PHP à Contrôle de Cookies : Tactiques Furtives sur Hôtes Linux

Résumé

Les acteurs de la menace utilisent les cookies HTTP comme une « clé d’activation » secrète pour les web shells PHP sur les serveurs d’hébergement Linux. Les implants restent inactifs jusqu’à ce qu’une valeur de cookie spécifique soit fournie, puis décodent et exécutent les charges utiles fournies par l’attaquant. Cette approche aide à réduire les indicateurs évidents dans les journaux de routine tout en permettant une exécution persistante de code distant. Les tactiques courantes incluent la superposition d’obfuscation, l’auto-guérison basée sur cron, et l’utilisation de ressources du serveur standards (‘Living off the Land’).

Enquête

Les chercheurs ont examiné plusieurs comptes d’hébergement compromis et ont découvert des chargeurs PHP qui ne reconstruisent leurs capacités à partir de blobs encodés en Base64 que lorsque le cookie déclencheur est présent. La persistance était maintenue par des tâches cron créées via des panneaux de contrôle d’hébergement (comme cPanel) qui restaurent périodiquement le web shell s’il est supprimé. L’exécution se faisait généralement via php-fpm et d’autres travailleurs web, qui généraient des interprètes de commande et récupéraient des charges utiles secondaires pour étendre l’accès.

Atténuation

Exigez une authentification multifactorielle (MFA) pour les panneaux de contrôle d’hébergement et les chemins d’accès administratifs. Restreignez les processus du serveur web pour qu’ils ne puissent pas générer de shells ou invoquer des utilitaires de mise en scène courants comme base64, curl ou wget. Surveillez de près la création et les modifications des tâches cron et émettez des alertes sur les écritures ou modifications de fichiers inattendues dans les répertoires web. Le renforcement supplémentaire inclut la restriction de l’accès aux shells jail et l’activation des protections en temps réel sur les serveurs Linux.

Réponse

Si identifié, isolez l’hôte, désactivez et supprimez les entrées cron malveillantes, supprimez les artefacts PHP suspects, et changez les identifiants pour les comptes d’hébergement affectés. Préservez et examinez les preuves, y compris les valeurs de cookies déclencheurs et les lignes de commande associées, puis appliquez des contrôles de durcissement pour empêcher un redéploiement et une compromission répétée.

Exécution de simulation

Prérequis : La vérification préalable de télémétrie doit avoir été réussie.

Raisonnement : Cette section détaille l’exécution précise de la technique de l’adversaire (TTP) conçue pour déclencher la règle de détection. Les commandes et le récit DOIVENT refléter directement les TTPs identifiés et viser à générer la télémétrie exacte attendue par la logique de détection. Des exemples abstraits ou non liés entraîneront une mauvaise interprétation.

• Narrative d’attaque & Commandes :
  Un attaquant ayant déjà compromis le serveur web obtient un webshell PHP malveillant (malicious.php). Pour l’activer, l’attaquant envoie une requête HTTP qui injecte un cookie conçu. Le gestionnaire PHP du serveur web interprète le cookie et génère un processus Bash qui exécute le fichier webshell. Pour le test, nous simulons le même effet localement en invoquant manuellement Bash avec une ligne de commande incluant « .php ». Cela produit la télémétrie exacte que la règle Sigma surveille (interpréteur de shell + « .php » dans la ligne de commande).

  1. Créer un webshell PHP fictif (pas de code nuisible, juste un inoffensif phpinfo() pour la visibilité).
  2. Exécuter le webshell via Bash, en intégrant le .php dans la ligne de commande.
  3. Vérifiez que l’évènement de création de processus apparaît dans les journaux d’audit avec les champs attendus.

• Script de test de régression :

  #!/usr/bin/env bash
  set -euo pipefail
  
  # 1. Déployez un fichier PHP inoffensif (webshell simulé)
  WEBROOT="/tmp/webshell_test"
  mkdir -p "$WEBROOT"
  cat > "$WEBROOT/malicious.php" <<'EOF'
  
  EOF
  
  # 2. Déclenche l'exécution via un interpréteur Bash (la ligne de commande contient ".php")
  echo "[*] Exécution du webshell via Bash pour générer la télémétrie de détection..."
  /bin/bash -c "php $WEBROOT/malicious.php"
  
  # 3. Pause brièvement pour permettre à auditd de vider les journaux
  sleep 2
  
  echo "[*] Simulation complète. Veuillez consulter le SIEM pour une correspondance sur :"
  echo "    process.name in (bash, sh, dash, jailshell) AND process.command_line contains '.php'"

• Commandes de nettoyage :

  #!/usr/bin/env bash
  set -euo pipefail
  
  WEBROOT="/tmp/webshell_test"
  
  echo "[*] Suppression du répertoire de test webshell..."
  rm -rf "$WEBROOT"
  
  echo "[*] Nettoyage complet."