Una web shell puede proporcionar a un atacante ejecución continua de comandos a través de un servidor web comprometido. Incluso cuando la vulnerabilidad original ya no es visible, la creación o modificación de archivos ejecutables del lado del servidor puede dejar evidencias que los defensores pueden supervisar.

La fuente define dos enfoques de detección complementarios: la monitorización de la integridad de archivos de Wazuh y los eventos de creación de archivos de Sysmon.

Por qué es importante supervisar los archivos de web shell

El comportamiento cubierto por esta búsqueda incluye la carga arbitraria de archivos, el recorrido de directorios, la deserialización, la inyección de comandos y la persistencia posterior a una RCE.

La detección se centra en las extensiones de archivo y los directorios asociados habitualmente con la ejecución del lado del servidor:

• archivos ASPX bajo SharePoint o IIS;

• archivos JSP en directorios de aplicaciones Java;

• archivos PHP en raíces web;

• archivos CGI en directorios CGI;

• archivos ASHX bajo IIS.

Un archivo nuevo en una de estas ubicaciones no es automáticamente malicioso. Las aplicaciones y los despliegues pueden crear archivos de forma legítima. Sin embargo, los scripts inesperados del lado del servidor, especialmente en entornos de producción, deben revisarse.

Consulta de monitorización de la integridad de archivos de Wazuh

rule.groups:syscheck and syscheck.event:(added or modified) and syscheck.path:(*spinstall*.aspx or *\_layouts\*.aspx or *\inetpub\wwwroot\*.aspx or */webapps/*.jsp or */j2ee/cluster/apps/*.jsp or */htdocs/*.php or */www/*.php or */public_html/*.php or */cgi-bin/*.cgi)

Esta consulta supervisa los archivos añadidos o modificados en rutas de aplicación seleccionadas.

Consulta de creación de archivos de Sysmon

data.win.system.eventID:11 and data.win.eventdata.targetFilename:(*spinstall*.aspx or *\_layouts\*.aspx or *\inetpub\wwwroot\*.aspx or *\webapps\*.jsp or *\wwwroot\*.ashx)

El ID de evento 11 de Sysmon ofrece otra forma de detectar la creación de archivos sospechosos en sistemas Windows.

La fuente registró cero coincidencias durante los 30 días anteriores.

Cómo investigar una coincidencia

Un evento de archivo aislado debe enriquecerse con contexto antes de llegar a una conclusión.

Algunas preguntas importantes son:

• ¿Qué proceso creó o modificó el archivo?

• ¿Qué cuenta realizó la acción?

• ¿Hubo actividad de despliegue o de aplicación de parches al mismo tiempo?

• ¿El nombre del archivo coincide con la línea base de la aplicación?

• ¿Se accedió al archivo mediante HTTP después de su creación?

• ¿Lanzó posteriormente el servidor cmd.exe, PowerShell u otro shell?

• ¿El archivo contiene funcionalidad inesperada de scripts o de ejecución de comandos?

Comparar el hash del archivo con paquetes de aplicación conocidos y fiables también puede ayudar a determinar si el archivo pertenece a un despliegue aprobado.

Correlación con la actividad de procesos

La detección de web shells se fortalece cuando los eventos de archivos se correlacionan con la creación de procesos.

Por ejemplo:

new ASPX file → HTTP access → w3wp.exe → powershell.exe

ofrece más confianza que cualquier evento por sí solo.

Lo mismo se aplica a los sistemas Java o PHP. Un archivo JSP o PHP nuevo seguido de una ejecución inesperada de un shell merece una prioridad significativamente mayor.

Ajuste de la detección

Dado que los despliegues de aplicaciones pueden modificar legítimamente los directorios web, el ajuste debe tener en cuenta las canalizaciones de publicación conocidos y las ventanas de mantenimiento aprobadas.

Las excepciones deben ser específicas. En lugar de excluir una raíz web completa, considere limitar una excepción a un proceso de despliegue conocido, una ruta esperada, un paquete aprobado o una cuenta de servicio.

El objetivo es conservar la visibilidad sobre los cambios inesperados en archivos y, al mismo tiempo, reducir el ruido de los cambios controlados.

Uso operativo

La fuente no identificó coincidencias en el período de 30 días, pero la ausencia de eventos aún puede ser útil. Una regla de bajo volumen puede convertirse en una alerta de alto valor cuando se despliega en un entorno de producción estable en el que los archivos ejecutables del lado del servidor rara vez cambian.

Para servidores web, plataformas de aplicaciones y entornos SharePoint, la supervisión de integridad de archivos sigue siendo un complemento importante de la telemetría de procesos y de red al buscar explotación y persistencia.