Malware

O scanner examina os arquivos dos seus sites, os processos em execução no servidor e a integridade do sistema. Ele nunca exclui nem move um arquivo por conta própria: a quarentena só acontece quando você pede.

O que uma varredura verifica#

• Assinaturas: 28 padrões integrados para web shells (C99, R57, WSO, B374K, China Chopper e outros), backdoors, scripts injetados, mineradores de criptomoedas e kits de phishing.
• Malware conhecido: o SHA-256 de cada arquivo PHP varrido é comparado com o banco de dados de arquivos de malware conhecidos do InfraFence. Só o hash é enviado, nunca o arquivo.
• YARA: regras relevantes para a web do YARA Forge, tiradas só de fontes cuja licença permite uso comercial: signature-base e ReversingLabs. As regras são atualizadas uma vez por dia. Elas precisam da ferramenta yara: Instalar YARA em Configurações › Malware a instala com o gerenciador de pacotes do servidor (apt-get, ou dnf/yum com EPEL).
• Heurísticas: arquivos PHP com entropia muito alta (típica de código ofuscado) e arquivos PHP criados nas últimas 48 horas em diretórios de upload e temporários.
• Frameworks: WordPress, Laravel, Django, Rails, Express e Node, Symfony, CakePHP, CodeIgniter, Joomla e Drupal são reconhecidos, com verificações de configuração para cada um: modo debug em produção, arquivos .env expostos ou legíveis por todos, chaves ausentes ou padrão, arquivos PHP nos uploads do WordPress e similares.
• WordPress: os arquivos do core são comparados com os checksums oficiais da versão instalada; o banco de dados é verificado em busca de scripts injetados em posts e opções e de administradores criados nos últimos 7 dias.
• Processos: mineradores de criptomoedas em execução, reverse shells e scripts PHP, Python ou Perl rodando a partir de /tmp, /dev/shm ou /var/tmp.
• Integridade do sistema: binários do sistema modificados depois da instalação do pacote deles (dpkg -V ou rpm -Va) e indicadores de rootkit como /etc/ld.so.preload, processos ocultos e executáveis que não correspondem ao seu processo.

Cada detecção informa por que deu correspondência, a severidade e o SHA-256 do arquivo, com a fonte e o autor da regra nas detecções YARA.

Agendamentos#

Em Configurações › Malware: Varreduras automáticas ativadas (desligado por padrão) e Varrer a cada 3, 6, 12 ou 24 horas. Varrer agora inicia na hora uma varredura de um servidor.

Com as varreduras automáticas ligadas, o agente também observa os diretórios de upload (uploads, upload, tmp, temp, files, media, wp-content/uploads) a cada 30 segundos e varre imediatamente qualquer arquivo PHP novo ou alterado.

Quarentena, ignorar, restaurar#

Em uma detecção:

• Colocar em quarentena move o arquivo para /var/lib/infrafence/quarantine/, somente leitura, registrando o caminho original, o dono e as permissões. Só arquivos dentro de um site detectado podem ir para a quarentena.
• Ignorar marca um falso positivo: as próximas varreduras pulam aquele arquivo para aquela assinatura. Parar de ignorar desfaz isso.
• Um arquivo em quarentena pode ser restaurado. Restaurar é sempre uma decisão de uma pessoa, nunca do AutoMode: o arquivo volta ao lugar original com o dono e as permissões, sem o bit de execução, e nunca por cima de um arquivo existente.

Desinstalar o agente mantém o diretório de quarentena no lugar, então nada se perde.

Ao lado de outros scanners#

ImunifyAV, Imunify360 e Monarx também varrem arquivos. Eles funcionam lado a lado: o InfraFence nunca exclui nem move um arquivo por conta própria. Veja Coexistência.