PHP вебшелли з керуванням через кукі: Непомітна торгівля на Linux хостах

Резюме

Зловмисники використовують HTTP cookie як прихований «активаційний ключ» для PHP веб-шелів на серверах Linux. Ці вставки залишаються неактивними, поки не отримають специфічне значення cookie, після чого декодують та виконують надані зловмисником завантаження. Цей підхід допомагає зменшити явні індикатори в рутинних логах, дозволяючи стійке віддалене виконання коду. Типові підтримуючі методи включають багатошарове шифрування, самовідновлення на базі cron і використання стандартних серверних утиліт.

Дослідження

Дослідники переглянули декілька зламаних облікових записів хостингу і виявили PHP-завантажувачі, які відновлюють функціональність лише з Base64-encoded блобів при наявності тригерної cookie. Стійкість підтримувалася через cron-задачі, створені за допомогою панелей управління хостингом (таких як cPanel), які періодично відновлюють веб-шел, якщо його видалено. Виконання зазвичай відбувалося через php-fpm та інші веб-воркери, які запускали shell-інтерпретатори та отримували додаткові завантаження для розширення доступу.

Пом’якшення

Вимагайте багатофакторної автентифікації для панелей управління хостингом та шляхів адміністративного доступу. Обмежте процеси веб-сервера так, щоб вони не могли запускати shell або викликати загальні сценарії стадіювання, такі як base64, curl або wget. Ретельно моніторьте створення та зміну cron, здійснюйте оповіщення про неочікувані записи або зміни файлів у веб-директоріях. Додаткове зміцнення включає обмеження доступу до jail shell та ввімкнення захисту в реальному часі для Linux серверів.

Відповідь

При виявленні ізолюйте хост, вимкніть та видаліть шкідливі cron-записи, видаліть підозрілі PHP-артефакти та змініть облікові дані для постраждалих хостингових облікових записів. Збережіть та перегляньте докази, включаючи значення тригерної cookie та пов’язані командні рядки, а потім застосуйте засоби зміцнення, щоб запобігти повторному розгортанню і повторному зламу.

Виконання Симуляції

Вимога: Телеметрія та Перевірка Базового запуску повинна пройти.

Підстава: Цей розділ описує точне виконання техніки супротивника (TTP), призначеної для активації правила виявлення. Команди та наратив МУТЬ безпосередньо відображати TTPs і прагнути до генерації тієї самої телеметрії, яку очікує логіка виявлення. Абстрактні або несвоєчасні приклади можуть призвести до помилкового діагнозу.

• Опис Атаки & Команди:
  Зловмисник, який вже скомпрометував веб-сервер, отримує шкідливий PHP-вебшел ( malicioзnus.php). Для активації зловмисник робить HTTP-запит, який підставляє спеціально сформовану cookie. PHP-обробник веб-сервера інтерпретує cookie і запускає процес Bash, який виконує файл вебшела. Для тестування ми симулюємо той самий ефект локально, вручну викликаючи Bash з командним рядком, що містить «.php». Це створює точну телеметрію, яку моніторить правило Sigma (shell інтерпретатор + «.php» у командному рядку).

  1. Створіть dummy PHP вебшел (без шкідливого коду, лише безпечний phpinfo() для видимості).
  2. Виконайте вебшел через Bash, вбудувавши .php ім’я файлу в командний рядок.
  3. Перевірте, чи відображається подія створення процесу в аудиторських логах із очікуваними полями.

• Сценарій Регресійного Тестування:

  #!/usr/bin/env bash
  set -euo pipefail
  
  # 1. Розгорніть безпечний PHP файл (симуляція вебшела)
  WEBROOT="/tmp/webshell_test"
  mkdir -p "$WEBROOT"
  cat > "$WEBROOT/malicious.php" <<'EOF'
  <?php
  // Симульований вебшел – безпечний завантажувач
  echo "Вебшел виконано о " . date('c') . "n";
  ?>
  EOF
  
  # 2. Активація через інтерпретатор Bash (командний рядок містить ".php")
  echo "[*] Виконання вебшела через Bash для створення телеметрії виявлення..."
  /bin/bash -c "php $WEBROOT/malicious.php"
  
  # 3. Затримка на кілька секунд, щоб дати auditd час для запису логів
  sleep 2
  
  echo "[*] Симуляція завершена. Перегляньте SIEM для відповідності на:"
  echo "    process.name in (bash, sh, dash, jailshell) AND process.command_line contains '.php'"

• Команди очищення:

  #!/usr/bin/env bash
  set -euo pipefail
  
  WEBROOT="/tmp/webshell_test"
  
  echo "[*] Видалення тестової директорії вебшела..."
  rm -rf "$WEBROOT"
  
  echo "[*] Очищення завершено."