Malware

Der Scanner prüft die Dateien deiner Websites, die auf dem Server laufenden Prozesse und die Integrität des Systems. Er löscht oder verschiebt nie von sich aus eine Datei: In Quarantäne kommt eine Datei nur, wenn du das verlangst.

Was ein Scan prüft#

• Signaturen: 28 eingebaute Muster für Web-Shells (C99, R57, WSO, B374K, China Chopper und andere), Backdoors, eingeschleuste Skripte, Krypto-Miner und Phishing-Kits.
• Bekannte Malware: Der SHA-256 jeder gescannten PHP-Datei wird mit der InfraFence-Datenbank bekannter Malware-Dateien abgeglichen. Gesendet wird nur der Hash, nie die Datei.
• YARA: Web-relevante Regeln aus YARA Forge, nur aus Quellen, deren Lizenz kommerzielle Nutzung erlaubt: signature-base und ReversingLabs. Die Regeln werden einmal täglich aktualisiert. Dafür ist das Tool yara nötig: YARA installieren unter Einstellungen › Malware installiert es mit dem Paketmanager des Servers (apt-get, oder dnf/yum mit EPEL).
• Heuristiken: PHP-Dateien mit sehr hoher Entropie (typisch für verschleierten Code) und PHP-Dateien, die in den letzten 48 Stunden in Upload- und temporären Verzeichnissen angelegt wurden.
• Frameworks: WordPress, Laravel, Django, Rails, Express und Node, Symfony, CakePHP, CodeIgniter, Joomla und Drupal werden erkannt, jeweils mit Konfigurationsprüfungen: Debug-Modus in Produktion, offen erreichbare oder für alle lesbare .env-Dateien, fehlende oder Standard-Schlüssel, PHP-Dateien in WordPress-Uploads und Ähnliches.
• WordPress: Core-Dateien werden mit den offiziellen Prüfsummen der installierten Version verglichen; die Datenbank wird nach eingeschleusten Skripten in Beiträgen und Optionen und nach Administratoren durchsucht, die in den letzten 7 Tagen angelegt wurden.
• Prozesse: laufende Krypto-Miner, Reverse Shells sowie PHP-, Python- oder Perl-Skripte, die aus /tmp, /dev/shm oder /var/tmp laufen.
• Systemintegrität: System-Binaries, die seit der Installation ihres Pakets verändert wurden (dpkg -V oder rpm -Va), und Rootkit-Indikatoren wie /etc/ld.so.preload, versteckte Prozesse und ausführbare Dateien, die nicht zu ihrem Prozess passen.

Jeder Fund nennt den Grund für den Treffer, seinen Schweregrad und den SHA-256 der Datei, bei YARA-Funden außerdem Quelle und Autor der Regel.

Zeitpläne#

Unter Einstellungen › Malware: Automatische Scans aktiv (standardmäßig aus) und Scannen alle 3, 6, 12 oder 24 Stunden. Jetzt scannen startet sofort einen Scan eines Servers.

Bei aktiven automatischen Scans überwacht der Agent außerdem alle 30 Sekunden die Upload-Verzeichnisse (uploads, upload, tmp, temp, files, media, wp-content/uploads) und scannt jede neue oder geänderte PHP-Datei sofort.

Quarantäne, ignorieren, wiederherstellen#

Bei einem Fund:

• In Quarantäne verschieben verschiebt die Datei schreibgeschützt nach /var/lib/infrafence/quarantine/ und hält ihren ursprünglichen Pfad, Eigentümer und ihre Rechte fest. Nur Dateien innerhalb einer erkannten Website können in Quarantäne verschoben werden.
• Ignorieren markiert einen Fehlalarm: Spätere Scans überspringen diese Datei für diese Signatur. Nicht mehr ignorieren macht das rückgängig.
• Eine Datei in Quarantäne kann wiederhergestellt werden. Das entscheidet immer ein Mensch, nie AutoMode: Die Datei kommt mit Eigentümer und Rechten an ihren ursprünglichen Ort zurück, ohne Ausführungsbit und nie über eine vorhandene Datei.

Bei der Deinstallation des Agenten bleibt das Quarantäne-Verzeichnis erhalten, es geht also nichts verloren.

Neben anderen Scannern#

Auch ImunifyAV, Imunify360 und Monarx scannen Dateien. Sie arbeiten problemlos nebeneinander: InfraFence löscht oder verschiebt nie von sich aus eine Datei. Siehe Koexistenz.