Una web shell può fornire a un attaccante un'esecuzione continua di comandi tramite un server web compromesso. Anche quando la vulnerabilità originaria non è più visibile, la creazione o la modifica di file eseguibili lato server può lasciare tracce che i difensori possono monitorare.
La fonte definisce due approcci di rilevamento complementari: Wazuh File Integrity Monitoring e gli eventi di creazione file di Sysmon.
Perché è importante monitorare i file delle web shell
Il comportamento coperto da questa ricerca comprende caricamento arbitrario di file, path traversal, deserializzazione, iniezione di comandi e persistenza successiva a una RCE.
Il rilevamento si concentra sulle estensioni di file e sulle cartelle comunemente associate all'esecuzione lato server:
file ASPX in SharePoint o IIS;
file JSP nelle cartelle delle applicazioni Java;
file PHP nelle web root;
file CGI nelle cartelle CGI;
file ASHX in IIS.
Un nuovo file in una di queste posizioni non è automaticamente dannoso. Applicazioni e rilasci possono creare file legittimamente. Tuttavia, gli script lato server inattesi, soprattutto negli ambienti di produzione, dovrebbero essere esaminati.
Query di Wazuh File Integrity Monitoring
rule.groups:syscheck and syscheck.event:(added or modified) and syscheck.path:(*spinstall*.aspx or *\_layouts\*.aspx or *\inetpub\wwwroot\*.aspx or */webapps/*.jsp or */j2ee/cluster/apps/*.jsp or */htdocs/*.php or */www/*.php or */public_html/*.php or */cgi-bin/*.cgi)
Questa query monitora i file aggiunti o modificati in percorsi applicativi selezionati.
Query Sysmon di creazione file
data.win.system.eventID:11 and data.win.eventdata.targetFilename:(*spinstall*.aspx or *\_layouts\*.aspx or *\inetpub\wwwroot\*.aspx or *\webapps\*.jsp or *\wwwroot\*.ashx)
L'ID evento 11 di Sysmon offre un altro modo per rilevare la creazione di file sospetti sui sistemi Windows.
La fonte ha registrato zero corrispondenze nei 30 giorni precedenti.
Come indagare su una corrispondenza
Un singolo evento di file dovrebbe essere arricchito con il contesto prima di trarre una conclusione.
Le domande importanti includono:
Quale processo ha creato o modificato il file?
Quale account ha eseguito l'azione?
C'era un'attività di rilascio o di applicazione delle patch nello stesso momento?
Il nome del file corrisponde alla baseline dell'applicazione?
Il file è stato richiesto tramite HTTP dopo la creazione?
Il server ha successivamente avviato
cmd.exe, PowerShell o un’altra shell?Il file contiene funzionalità impreviste di esecuzione di script o di esecuzione di comandi?
Anche il confronto dell'hash del file con pacchetti applicativi noti e affidabili può aiutare a stabilire se il file appartiene a un rilascio approvato.
Correlazione con l'attività dei processi
Il rilevamento delle web shell diventa più solido quando gli eventi di file vengono correlati alla creazione di processi.
Ad esempio:
new ASPX file → HTTP access → w3wp.exe → powershell.exe
offre più fiducia di qualsiasi singolo evento preso da solo.
Lo stesso vale per i sistemi Java o PHP. Un nuovo file JSP o PHP seguito da un'esecuzione inattesa di una shell merita una priorità significativamente più alta.
Messa a punto del rilevamento
Poiché i rilasci delle applicazioni possono modificare legittimamente le cartelle web, l'ottimizzazione dovrebbe tenere conto delle pipeline di rilascio note e delle finestre di manutenzione approvate.
Le eccezioni devono essere specifiche. Invece di escludere un'intera web root, valuti di limitare un'eccezione a un processo di rilascio noto, a un percorso atteso, a un pacchetto approvato o a un account di servizio.
L'obiettivo è preservare la visibilità sulle modifiche inattese ai file riducendo al contempo il rumore delle modifiche controllate.
Utilizzo operativo
La fonte non ha individuato corrispondenze nel periodo di 30 giorni, ma l'assenza di eventi può comunque essere utile. Una regola a basso volume può diventare un alert di grande valore se distribuita in un ambiente di produzione stabile in cui i file eseguibili lato server cambiano raramente.
Per web server, piattaforme applicative e ambienti SharePoint, il monitoraggio dell'integrità dei file resta un importante complemento alla telemetria di processi e di rete nella ricerca di sfruttamento e persistenza.
