Web Shell PHP Controllati da Cookie: Tecniche di Furtività su Host Linux

Riepilogo

Gli attori delle minacce stanno abusando dei cookie HTTP come “chiave di attivazione” nascosta per le web shell PHP su server di hosting Linux. Gli impianti rimangono inattivi fino a quando non viene fornito un valore specifico del cookie, quindi decodificano ed eseguono i payload forniti dall’attaccante. Questo approccio aiuta a ridurre gli indicatori evidenti nei log di routine, consentendo al contempo l’esecuzione persistente di codice remoto. Le pratiche commerciali di supporto comuni includono offuscamento a strati, autorigenerazione basata su cron e l’uso di utilità server standard.

Indagine

I ricercatori hanno esaminato diversi account di hosting compromessi e hanno trovato loader PHP che ricostruiscono le capacità solo da blob codificati in Base64 quando il cookie di attivazione è presente. La persistenza è stata mantenuta attraverso i job cron creati tramite pannelli di controllo dell’hosting (come cPanel) che ripristinano periodicamente la web shell se viene rimossa. L’esecuzione scorreva comunemente attraverso php-fpm e altri motori web, che generavano interpreti di shell e recuperavano payload secondari per estendere l’accesso.

Mitigazione

Richiedere MFA per i pannelli di controllo dell’hosting e i percorsi di accesso amministrativi. Limitare i processi del server web in modo che non possano avviare shell o invocare utilità di staging comuni come base64, curl o wget. Monitorare attentamente la creazione e le modifiche cron e segnalare scritture di file inaspettate o modifiche nelle directory web. Un ulteriore irrobustimento comprende limitare l’accesso alla jail shell e abilitare protezioni in tempo reale sugli endpoint sui server Linux.

Risposta

Se identificato, isolare l’host, disabilitare e rimuovere le voci cron dannose, eliminare gli artefatti PHP sospetti e ruotare le credenziali per gli account di hosting interessati. Preservare e esaminare le prove, inclusi i valori dei cookie di attivazione e le linee di comando associate, quindi applicare controlli di irrobustimento per prevenire nuove installazioni e compromissioni ripetute.

Esecuzione di Simulazione

Prerequisito: Il check preliminare di Telemetria e Baseline deve essere positivo.

Motivazione: Questa sezione descrive l’esecuzione precisa della tecnica dell’avversario (TTP) progettata per attivare la regola di rilevamento. I comandi e la narrazione DEVONO riflettere direttamente le TTP identificate ed essere creati per generare la telemetria esatta prevista dalla logica di rilevamento. Esempi astratti o non correlati porteranno a una diagnosi errata.

• Narrativa e Comandi di Attacco:
  Un attaccante che ha già compromesso il server web ottiene una webshell PHP dannosa (malicious.php). Per attivarla, l’attaccante emette una richiesta HTTP che inietta un cookie appositamente creato. Il gestore PHP del server web interpreta il cookie e genera un processo Bash che esegue il file della webshell. Per i test, simuleremo lo stesso effetto localmente invocando manualmente Bash con una linea di comando che include “.php”. Ciò produce la telemetria esatta che la regola Sigma monitora (interprete della shell + “.php” nella linea di comando).

  1. Crea una webshell PHP fittizia (nessun codice dannoso, solo un innocuo phpinfo() per visibilità).
  2. Eseguire la webshell tramite Bash, includendo il .php nome del file nella linea di comando.
  3. Verificare che l’evento di creazione del processo appaia nei log di audit con i campi previsti.

• Script per Test di Regressione:

  #!/usr/bin/env bash
  set -euo pipefail
  
  # 1. Distribuire un file PHP innocuo (webshell simulata)
  WEBROOT="/tmp/webshell_test"
  mkdir -p "$WEBROOT"
  cat > "$WEBROOT/malicious.php" <<'EOF'
  <?php
  // Webshell simulata – payload sicuro
  echo "Webshell eseguita a " . date('c') . "n";
  ?>
  EOF
  
  # 2. Attivare l'esecuzione tramite un interprete Bash (la linea di comando contiene ".php")
  echo "[*] Esecuzione della webshell tramite Bash per generare la telemetria di rilevamento..."
  /bin/bash -c "php $WEBROOT/malicious.php"
  
  # 3. Pausa breve per permettere ad auditd di svuotare i log
  sleep 2
  
  echo "[*] Simulazione completa. Controllare il SIEM per corrispondenza su:"
  echo "    process.name in (bash, sh, dash, jailshell) E process.command_line contiene '.php'"

• Comandi di Pulizia:

  #!/usr/bin/env bash
  set -euo pipefail
  
  WEBROOT="/tmp/webshell_test"
  
  echo "[*] Rimuovere la directory della webshell di test..."
  rm -rf "$WEBROOT"
  
  echo "[*] Pulizia completata."