Malware

Lo scanner esamina i file dei tuoi siti web, i processi in esecuzione sul server e l'integrità del sistema. Non elimina né sposta mai un file di sua iniziativa: la quarantena avviene solo quando la richiedi tu.

Cosa controlla una scansione#

• Firme: 28 pattern integrati per web shell (C99, R57, WSO, B374K, China Chopper e altre), backdoor, script iniettati, crypto miner e kit di phishing.
• Malware noto: lo SHA-256 di ogni file PHP scansionato viene confrontato con il database di file malware noti di InfraFence. Viene inviato solo l'hash, mai il file.
• YARA: regole rilevanti per il web da YARA Forge, prese solo da fonti la cui licenza consente l'uso commerciale: signature-base e ReversingLabs. Le regole vengono aggiornate una volta al giorno. Richiedono lo strumento yara: Installa YARA in Impostazioni › Malware lo installa con il gestore di pacchetti del server (apt-get, oppure dnf/yum con EPEL).
• Euristiche: file PHP con entropia molto alta (tipica del codice offuscato) e file PHP creati nelle ultime 48 ore nelle directory di upload e temporanee.
• Framework: vengono riconosciuti WordPress, Laravel, Django, Rails, Express e Node, Symfony, CakePHP, CodeIgniter, Joomla e Drupal, con controlli di configurazione per ciascuno: modalità debug in produzione, file .env esposti o leggibili da tutti, chiavi mancanti o predefinite, file PHP negli upload di WordPress e simili.
• WordPress: i file del core vengono confrontati con i checksum ufficiali della versione installata; nel database si cercano script iniettati in post e opzioni e amministratori creati negli ultimi 7 giorni.
• Processi: crypto miner in esecuzione, reverse shell e script PHP, Python o Perl eseguiti da /tmp, /dev/shm o /var/tmp.
• Integrità del sistema: binari di sistema modificati dopo l'installazione del loro pacchetto (dpkg -V o rpm -Va) e indicatori di rootkit come /etc/ld.so.preload, processi nascosti ed eseguibili che non corrispondono al loro processo.

Ogni rilevamento indica perché ha fatto match, la sua gravità e lo SHA-256 del file, con la fonte e l'autore della regola per i rilevamenti YARA.

Pianificazione#

In Impostazioni › Malware: Scansioni automatiche abilitate (disattivato per impostazione predefinita) e Scansiona ogni 3, 6, 12 o 24 ore. Scansiona ora avvia subito la scansione di un server.

Con le scansioni automatiche attive, l'agente sorveglia anche le directory di upload (uploads, upload, tmp, temp, files, media, wp-content/uploads) ogni 30 secondi e scansiona subito ogni file PHP nuovo o modificato.

Quarantena, ignora, ripristino#

Su un rilevamento:

• Metti in quarantena sposta il file in /var/lib/infrafence/quarantine/, in sola lettura, registrando percorso originale, proprietario e permessi. Si possono mettere in quarantena solo file all'interno di un sito web rilevato.
• Ignora segna un falso positivo: le scansioni successive saltano quel file per quella firma. Non ignorare più lo annulla.
• Un file in quarantena può essere ripristinato. Il ripristino è sempre una decisione di una persona, mai di AutoMode: il file torna al suo posto originale con proprietario e permessi, senza il bit di esecuzione, e mai sopra un file esistente.

La disinstallazione dell'agente lascia al suo posto la directory di quarantena, quindi non si perde nulla.

Insieme ad altri scanner#

Anche ImunifyAV, Imunify360 e Monarx scansionano i file. Funzionano fianco a fianco: InfraFence non elimina né sposta mai un file di sua iniziativa. Vedi Coesistenza.