Webshell rozkopírovaný do více částí webu
Anonymizovaný případ, ve kterém se stejný upload backdoor nacházel v obrázcích, médiích i šabloně.
Menší prezentační web mimo zdravotnictví. Předchozí zásah spočíval v tom, že se smazal nalezený škodlivý soubor. Web se krátce nato choval stejně jako předtím — což je nejčastější scénář, se kterým se u opakovaných infekcí setkáváme.
Co jsme našli
Audit odhalil osm náhodně pojmenovaných PHP souborů se stejnou signaturou webshellu. Nebyly jen v adresáři s obrázky, ale také v šablonách a médiích, a u části z nich existovaly další kopie v podadresářích. Shell obsahoval nahrávací formulář a operace pro přesun, kopírování a zápis souborů — tedy vše potřebné k tomu, aby se sám množil dál.
Databáze obsahovala inventář týchž souborů ve více cestách a stopy po předchozím mazání. Původní vstupní vektor se přitom nepodařilo určit s jistotou — a to je poctivější závěr než dodatečně vykonstruovaná příčina.
Jak jsme postupovali
Klíčové bylo inventarizovat kopie podle obsahu, ne podle názvu. Náhodně generované názvy souborů znamenají, že hledání podle jména najde jen tu kopii, kterou už znáte.
Po odstranění shellů jsme prošli adresáře obrázků, médií i šablon, šablonu a framework obnovili z důvěryhodných balíčků a zkontrolovali backendové účty, session záznamy a přístupové logy. Následovala rotace hesel k Joomle, FTP/SFTP, databázi i hostingu, nasazení vícefaktorového ověření a omezení zápisu do veřejně dostupných adresářů s assety. Zásah jsme uzavřeli opakovaným skenem a novou čistou zálohou.
Výsledek
Rozhodující nebylo smazání prvního nalezeného souboru, ale nalezení všech identických kopií napříč webem a obnovení důvěryhodných komponent. Omezení zápisu do assetových adresářů zároveň odstranilo mechanismus, kterým se malware šířil.
Co si z toho odnést
Náhodně pojmenované PHP soubory v adresářích, které mají obsahovat jen obrázky, média nebo šablonu, znamenají povinnost prověřit celý webroot, zálohy i databázový inventář. Jedna odstraněná kopie neznamená uzavřený incident — a adresář, o kterém si myslíte, že jsou v něm „jen obrázky“, je přesně to místo, kam se malware schovává.