Las aplicaciones web y los servidores de aplicaciones alojados en Linux pueden exponer telemetría de postexplotación valiosa cuando hay registro de auditoría disponible. Una RCE exitosa no produce necesariamente un archivo de malware único ni una alerta de exploit evidente. En cambio, puede aparecer como un contexto de aplicación web que de repente ejecuta shells, utilidades de descarga, intérpretes o comandos de descubrimiento del sistema.
La fuente define una búsqueda de comportamiento que busca exactamente este tipo de actividad.
Qué busca la detección
La consulta busca en la telemetría de auditoría de Linux comandos comúnmente asociados con el acceso a shell, el reconocimiento, la entrega de cargas útiles y la ejecución posterior. Entre ellos se incluyen:
sh,bash,dashyzsh;curlywget;nc,ncatysocat;python,python3yperl;chmodychown;whoami,idyuname.
La búsqueda resulta más focalizada cuando estos comandos se ejecutan desde directorios web o de aplicaciones como /var/www, /srv/www, Tomcat, SAP, webapps, public_html, módulos de Node, Next.js o directorios de Langflow.
La fuente asocia esta cobertura con RCE que afecta a SAP NetWeaver, React y Next.js, Langflow, ActiveMQ, cPanel, WordPress, Joomla, aplicaciones de Oracle, dispositivos y otros servicios Java, Python, PHP o Node.
Consulta de detección
rule.groups:*audit* and data.audit.command:(*sh* or *bash* or *dash* or *zsh* or *curl* or *wget* or *nc* or *ncat* or *socat* or *python* or *python3* or *perl* or *chmod* or *chown* or *whoami* or *id* or *uname*) and data.audit.cwd:(/var/www* or /srv/www* or /opt/tomcat* or /opt/sap* or /usr/sap* or /opt/*/webapps* or */public_html* or */node_modules* or */next* or */langflow*)
Una versión más amplia de la fuente elimina la condición del directorio de trabajo:
rule.groups:*audit* and data.audit.command:(*sh* or *bash* or *dash* or *zsh* or *curl* or *wget* or *nc* or *ncat* or *socat* or *python* or *python3* or *perl* or *chmod* or *chown* or *whoami* or *id* or *uname*)
La búsqueda más amplia produjo 3,746 eventos durante los 30 días anteriores.
Por qué ayuda el contexto del directorio de trabajo
Un comando como curl o python3 es habitual en muchos sistemas Linux. El valor de la primera consulta proviene de combinar el comando con el contexto de ejecución.
Por ejemplo, un shell iniciado desde un directorio relacionado con una aplicación web es más interesante que el mismo shell iniciado desde el directorio personal de un administrador conocido. Asimismo, whoami, id o uname ejecutados desde un directorio de aplicación web pueden ser útiles indicadores de reconocimiento cuando aparecen de forma inesperada.
Por lo tanto, el directorio de trabajo ayuda a reducir la brecha entre una búsqueda genérica de comandos y una detección de postexplotación centrada en la aplicación.
Enfoque de investigación
Cuando se encuentra una coincidencia, los analistas deben revisar:
la ruta del ejecutable;
directorio de trabajo actual;
el usuario efectivo y el usuario de auditoría original;
proceso padre;
la línea de comandos completa;
las conexiones de red posteriores a la ejecución;
los archivos creados o modificados;
los registros de la aplicación en torno a la misma marca de tiempo.
Una secuencia en la que un contexto de aplicación ejecuta whoami, seguido de curl y luego de un shell, es considerablemente más interesante que un único comando aislado.
Ajuste y desarrollo de la línea base
El número de resultados de la fuente sugiere que la lista amplia de comandos puede generar mucho ruido. Por lo tanto, el ajuste debe comenzar separando la ejecución específica de la aplicación de la administración normal del sistema.
Las dimensiones útiles para la lista de permitidos pueden incluir:
cuentas de automatización conocidas;
scripts aprobados;
ventanas de mantenimiento;
directorios de aplicación esperados;
herramientas de despliegue conocidas;
tareas conocidas de gestión de paquetes.
El objetivo no es eliminar la visibilidad de la línea de comandos, sino preservar las combinaciones inusuales de comando, directorio, usuario y contexto de aplicación.
Valor práctico
Esta detección es útil porque no depende de identificar una carga útil de exploit específica. Busca comportamientos que pueden ocurrir tras muchas vulnerabilidades diferentes de aplicaciones web.
Para servidores Linux monitorizados con Wazuh y telemetría de auditoría, este enfoque puede ayudar a identificar la transición de la aplicación vulnerable a la ejecución a nivel de sistema operativo y ofrecer una capa práctica de búsqueda de amenazas en múltiples tecnologías.
