Malware

L'analyseur examine les fichiers de vos sites web, les processus en cours d'exécution sur le serveur et l'intégrité du système. Il ne supprime ni ne déplace jamais un fichier de lui-même : la mise en quarantaine n'a lieu que si vous la demandez.

Ce que vérifie une analyse#

• Signatures : 28 motifs intégrés pour les web shells (C99, R57, WSO, B374K, China Chopper et d'autres), les portes dérobées, les scripts injectés, les mineurs de cryptomonnaie et les kits de phishing.
• Malwares connus : le SHA-256 de chaque fichier PHP analysé est comparé à la base de fichiers malveillants connus d'InfraFence. Seul le hash est envoyé, jamais le fichier.
• YARA : les règles utiles pour le web de YARA Forge, prises uniquement dans les sources dont la licence autorise un usage commercial : signature-base et ReversingLabs. Les règles sont mises à jour une fois par jour. Elles nécessitent l'outil yara : Installer YARA dans Paramètres › Malware l'installe avec le gestionnaire de paquets du serveur (apt-get, ou dnf/yum avec EPEL).
• Heuristiques : fichiers PHP à très forte entropie (typique du code obfusqué), et fichiers PHP créés dans les dernières 48 heures dans les répertoires d'upload et temporaires.
• Frameworks : WordPress, Laravel, Django, Rails, Express et Node, Symfony, CakePHP, CodeIgniter, Joomla et Drupal sont reconnus, avec des contrôles de configuration pour chacun : mode debug en production, fichiers .env exposés ou lisibles par tous, clés absentes ou laissées par défaut, fichiers PHP dans les uploads WordPress, etc.
• WordPress : fichiers du cœur comparés aux sommes de contrôle officielles de la version installée ; base de données vérifiée à la recherche de scripts injectés dans les articles et les options, et d'administrateurs créés au cours des 7 derniers jours.
• Processus : mineurs de cryptomonnaie en cours d'exécution, reverse shells, et scripts PHP, Python ou Perl lancés depuis /tmp, /dev/shm ou /var/tmp.
• Intégrité du système : binaires système modifiés depuis l'installation de leur paquet (dpkg -V ou rpm -Va), et indicateurs de rootkit comme /etc/ld.so.preload, des processus cachés et des exécutables qui ne correspondent pas à leur processus.

Chaque détection indique pourquoi elle a été déclenchée, sa gravité et le SHA-256 du fichier, avec la source et l'auteur de la règle pour les détections YARA.

Planification#

Dans Paramètres › Malware : Analyses automatiques activées (désactivé par défaut) et Analyser toutes les 3, 6, 12 ou 24 heures. Analyser maintenant lance immédiatement l'analyse d'un serveur.

Avec les analyses automatiques activées, l'agent surveille aussi les répertoires d'upload (uploads, upload, tmp, temp, files, media, wp-content/uploads) toutes les 30 secondes et analyse aussitôt tout fichier PHP nouveau ou modifié.

Quarantaine, ignorer, restaurer#

Sur une détection :

• Mettre en quarantaine déplace le fichier dans /var/lib/infrafence/quarantine/, en lecture seule, en enregistrant son chemin d'origine, son propriétaire et ses permissions. Seuls les fichiers situés dans un site web détecté peuvent être mis en quarantaine.
• Ignorer marque un faux positif : les analyses suivantes ne signalent plus ce fichier pour cette signature. Ne plus ignorer annule ce choix.
• Un fichier en quarantaine peut être restauré. La restauration est toujours la décision d'une personne, jamais d'AutoMode : le fichier retourne à son emplacement d'origine avec son propriétaire et ses permissions, sans le bit d'exécution, et jamais par-dessus un fichier existant.

La désinstallation de l'agent laisse le répertoire de quarantaine en place : rien n'est perdu.

À côté d'autres analyseurs#

ImunifyAV, Imunify360 et Monarx analysent aussi les fichiers. Ils fonctionnent côte à côte : InfraFence ne supprime ni ne déplace jamais un fichier de lui-même. Voir Coexistence.