NSA发布WebShell恶意软件检测与预防报告

美国国家安全局(NSA)和澳大利亚信号局(ASD)本周发布了一份安全公告,警告企业尽快从Web服务器和内部服务器中检测常见的WebShell恶意软件。

两家机构现已发布了一份长达17页的联合报告

[https://media.defense.gov/2020/Apr/22/2002285959/-1/-1/0/DETECT%20AN
D%20PREVENT%20WEB%20SHELL%20MALWARE.PDF ],其中包含一些工具,可帮助系统管理员检测和处理这些WebShell威胁,包括:

  • 用于将生产网站与知名图片进行比较的脚本
  • Splunk查询,用于检测Web流量中的异常URL
  • 互联网信息服务(IIS)日志分析工具
  • 常见WebShell的网络流量签名
  • 识别意外网络流量的说明
  • 识别Sysmon数据中异常流程调用的说明
  • 使用Audited识别异常流程调用的说明
  • 用于阻止对可通过Web访问的目录的更改的HIPS规则
  • 常用的Web应用程序漏洞列表

最流行的恶意软件之一

WebShell是当今最流行的恶意软件形式之一。术语“ Web Shell”是指在被黑客入侵的服务器上安装的恶意程序或脚本。

WebShell提供了一个可视界面,黑客可以使用该界面与被入侵的服务器及其文件系统进行交互。大多数WebShell都具有允许黑客重命名,复制,移动,编辑或上载服务器上新文件的功能。它们还可用于更改文件和目录权限,或从服务器存档和下载(窃取)数据。

黑客通过利用面向Internet的服务器或Web应用程序(例如CMS,CMS插件,CMS主题,CRM,Intranet或其他企业应用程序等)中的漏洞来安装WebShell。

WebShell可以用从Go到PHP的任何编程语言编写。这使黑客能够以通用名称(例如index.asp或uploader.php)将网络外壳隐藏在任何网站的代码中,这使得在没有Web防火墙或Web恶意软件扫描器的帮助下,几乎不可能进行操作员的检测。

微软在今年2月发布的一份报告中表示,它每天检测到大约77,000个活动的WebShell,意味着WebShell已经成为当今最流行的恶意软件类型之一。

WEBSHELL可以充当内部网络的后门

但是,许多公司对WebShell的危险性认识不足。

在本周发布的安全公告中,NSA和ASD两家机构表示:

WebShell可以充当持久的后门或中继节点,将攻击者的命令路由到其他系统。攻击者经常将多个受损系统上的WebShell链接在一起,以跨网络路由流量,例如从面向Internet的系统到内部网络。

该通报中提到的一些工具也可以在NSA的GitHub资料(https://github.com/nsacyber/Mitigating-Web-Shells)中找到。

尽管联合公告中包含的所有建议和免费工具都很不错,但还是建议系统管理员先对系统进行修补,然后再搜索已受损的主机。NSA和ASD给出的常用服务器软件列表是开始打补丁优先对象,因为最近几个月这些系统已成为攻击目标。

该软件列表包括Microsoft SharePoint,Microsoft Exchange,Citrix,Atlassian Confluence,WordPress,Zoho ManageEngine和Adobe ColdFusion等流行工具中的漏洞。

上一篇:GeekPwn2020 新增“新基建”安全专项赛,助力产业数字化升级

下一篇:Valve:玩家可以继续安全地玩CS:GO