Агентство национальной безопасности США и австралийское Управление радиотехнической обороны подготовили рекомендации для компаний по поиску веб-шеллов (web shell) на внутренних серверах и серверах, «смотрящих» в интернет. В своем докладе эксперты приводят список угроз, которые чаще всего применяются для развертывания веб-шеллов.
Эксперты пишут, что веб-шеллы являются одной из наиболее популярных на сегодняшний день форм малвари. Термином «web shell» обычно обозначают вредоносную программу или скрипт, установленные на взломанном сервере. К примеру, в феврале текущего года Microsoft сообщала, что ежедневно обнаруживает около 77 000 активных веб-шеллов.
Большинство веб-шеллов предоставляют хакеру визуальный интерфейс, который можно использовать для взаимодействия с взломанным сервером и его файловой системой, а также имеют функции, позволяющие переименовывать, копировать, перемещать, редактировать или загружать новые файлы на сервер. Кроме того, веб-шелл может использоваться для изменения прав доступа к файлам и каталогам, а также архивирования и скачивания (кражи) данных с сервера.
Веб-шеллы могут быть написаны на любом языке, от Go до PHP, что позволяет злоумышленникам скрывать их внутри кода любого сайта под общими, не вызывающими подозрений названиями (например, index.asp или uploader.php). В итоге человек-оператор вряд ли сумеет обнаружить веб-шелл самостоятельно, без помощи брандмауэра или сканера малвари.
Исследователи предупреждают, что многие компании не до конца понимают опасность установки веб-шеллов в их системах. По сути, веб-шеллы действуют как бэкдоры, и относиться к ним нужно соответственно.
Эксперты пишут, что веб-шеллы являются одной из наиболее популярных на сегодняшний день форм малвари. Термином «web shell» обычно обозначают вредоносную программу или скрипт, установленные на взломанном сервере. К примеру, в феврале текущего года Microsoft сообщала, что ежедневно обнаруживает около 77 000 активных веб-шеллов.
Большинство веб-шеллов предоставляют хакеру визуальный интерфейс, который можно использовать для взаимодействия с взломанным сервером и его файловой системой, а также имеют функции, позволяющие переименовывать, копировать, перемещать, редактировать или загружать новые файлы на сервер. Кроме того, веб-шелл может использоваться для изменения прав доступа к файлам и каталогам, а также архивирования и скачивания (кражи) данных с сервера.
Веб-шеллы могут быть написаны на любом языке, от Go до PHP, что позволяет злоумышленникам скрывать их внутри кода любого сайта под общими, не вызывающими подозрений названиями (например, index.asp или uploader.php). В итоге человек-оператор вряд ли сумеет обнаружить веб-шелл самостоятельно, без помощи брандмауэра или сканера малвари.
Исследователи предупреждают, что многие компании не до конца понимают опасность установки веб-шеллов в их системах. По сути, веб-шеллы действуют как бэкдоры, и относиться к ним нужно соответственно.
Агентство национальной безопасности США и австралийское Управление радиотехнической обороны рекомендуют системным администраторам использовать следующие инструменты для обнаружения веб-шеллов (многие из них доступны в специальном репозитории АНБ на GitHub):
- скрипты для сравнения сайта с его заведомо хорошим образом;
- splunk-запросы для обнаружения аномальных URL-адресов в трафике;
- инструмент для анализа логов Internet Information Services (IIS);
- сигнатуры сетевого трафика для известных веб-шеллов;
- инструкция по выявлению подозрительных сетевых потоков;
- инструкции по идентификации аномальных вызовов процессов среди данных Sysmon;
- инструкции по идентификации аномальных вызовов процессов с Auditd;
- HIPS-правила для блокировки изменений в доступных из веба каталогах;
- список часто эксплуатируемых уязвимостей в веб-приложениях.
| ID уязвимости | Уязвимый продукт | О проблеме стало известно |
| CVE-2019-0604 | Microsoft SharePoint | 15 мая 2019 |
| CVE-2019-19781 | Citrix Gateway, Citrix Application Delivery Controller и Citrix SD-WAN WANOP | 22 января 2020 |
| CVE-2019-3396 | Atlassian Confluence Server | 20 мая 2019 |
| CVE-2019-3398 | Atlassian Confluence Server и Atlassian Confluence Data Center | 26 ноября 2019 |
| CVE-2019-9978 | WordPress-плагин Social Warfare | 22 апреля 2019 |
| CVE-2019-18935 CVE-2017-11317 CVE-2017-11357 | Progress Telerik UI | 7 февраля 2019 |
| CVE-2019-11580 | Atlassian Crowd и Crowd Data Center | 15 июля 2019 |
| CVE-2020-10189 | Zoho ManageEngine Desktop Central | 6 марта 2020 |
| CVE-2019-8394 | Zoho ManageEngine ServiceDesk Plus | 18 февраля 2019 |
| CVE-2020-0688 | Microsoft Exchange Server | 10 марта 2020 |
| CVE-2018-15961 | Adobe ColdFusion | 8 ноября 2018 |