Malware

El escáner revisa los archivos de tus sitios web, los procesos que se ejecutan en el servidor y la integridad del sistema. Nunca borra ni mueve un archivo por su cuenta: la cuarentena solo ocurre cuando tú la pides.

Qué revisa un escaneo#

• Firmas: 28 patrones integrados para web shells (C99, R57, WSO, B374K, China Chopper y otros), puertas traseras, scripts inyectados, mineros de criptomonedas y kits de phishing.
• Malware conocido: el SHA-256 de cada archivo PHP escaneado se compara con la base de datos de archivos de malware conocidos de InfraFence. Solo se envía el hash, nunca el archivo.
• YARA: reglas relevantes para la web de YARA Forge, tomadas solo de fuentes cuya licencia permite el uso comercial: signature-base y ReversingLabs. Las reglas se actualizan una vez al día. Necesitan la herramienta yara: Instalar YARA en Ajustes › Malware la instala con el gestor de paquetes del servidor (apt-get, o dnf/yum con EPEL).
• Heurísticas: archivos PHP con una entropía muy alta (típica del código ofuscado) y archivos PHP creados en las últimas 48 horas en directorios de subida y temporales.
• Frameworks: se reconocen WordPress, Laravel, Django, Rails, Express y Node, Symfony, CakePHP, CodeIgniter, Joomla y Drupal, con comprobaciones de configuración para cada uno: modo debug en producción, archivos .env expuestos o legibles por todos, claves ausentes o por defecto, archivos PHP en las subidas de WordPress y similares.
• WordPress: los archivos del núcleo se comparan con las sumas de verificación oficiales de la versión instalada; en la base de datos se buscan scripts inyectados en entradas y opciones, y administradores creados en los últimos 7 días.
• Procesos: mineros de criptomonedas en ejecución, reverse shells y scripts PHP, Python o Perl que se ejecutan desde /tmp, /dev/shm o /var/tmp.
• Integridad del sistema: binarios del sistema modificados desde que se instaló su paquete (dpkg -V o rpm -Va) e indicios de rootkit como /etc/ld.so.preload, procesos ocultos y ejecutables que no coinciden con su proceso.

Cada hallazgo indica por qué coincidió, su gravedad y el SHA-256 del archivo, y en los hallazgos de YARA también la fuente y el autor de la regla.

Programación#

En Ajustes › Malware: Escaneos automáticos activados (desactivado por defecto) y Escanear cada 3, 6, 12 o 24 horas. Escanear ahora inicia al momento un escaneo de un servidor.

Con los escaneos automáticos activados, el agente también vigila los directorios de subida (uploads, upload, tmp, temp, files, media, wp-content/uploads) cada 30 segundos y escanea al instante cualquier archivo PHP nuevo o modificado.

Cuarentena, ignorar, restaurar#

Sobre un hallazgo:

• Poner en cuarentena lo mueve a /var/lib/infrafence/quarantine/, en solo lectura, registrando su ruta original, su propietario y sus permisos. Solo se pueden poner en cuarentena archivos que estén dentro de un sitio web detectado.
• Ignorar marca un falso positivo: los escaneos siguientes omiten ese archivo para esa firma. Dejar de ignorar lo deshace.
• Un archivo en cuarentena se puede restaurar. Restaurar es siempre decisión de una persona, nunca de AutoMode: el archivo vuelve a su lugar original con su propietario y sus permisos, sin el bit de ejecución, y nunca sobrescribe un archivo existente.

Desinstalar el agente deja el directorio de cuarentena donde está, así que no se pierde nada.

Junto a otros escáneres#

ImunifyAV, Imunify360 y Monarx también escanean archivos. Funcionan en paralelo: InfraFence nunca borra ni mueve un archivo por su cuenta. Consulta Coexistencia.