LA SHELL EN LA WEB - VULNEX · X JORNADAS STIC CCN-CERT 1. ¿QUÉ SON? • Herramientas de post-explotación. Los atacantes las utilizan a menudo para controlar un sistema comprometido

www.ccn-cert.cni.es

LA SHELL EN LA WEB

www.ccn-cert.cni.es 2  

Simón Roses Femerling •  Licenciado  informá.ca  (Suffolk  University),  Postgrado  E-­‐Commerce    

(Harvard  University)  y  Execu.ve  MBA  (IE  Business  School)  

•  Fundador  &  CEO,  VULNEX  www.vulnex.com    •  Blog:          www.simonroses.com  

•                         @simonroses  |  @vulnexsl    •  Ex:  MicrosoS,  PwC,  @Stake  

•  Beca  del  DARPA  Cyber  Fast  Track  (CFT)  para  inves.gar  sobre  seguridad    en  el  ciclo  de  desarrollo  de  soSware  

               hYp://www.simonroses.com/es/2014/06/mi-­‐visita-­‐al-­‐pentagono/    •  Ponente:  Black  Hat,  DEF  CON,  RSA,  HITB,  OWASP,  AppSec  USA,  SOURCE,    

DeepSec,  TECHNET,  CCN  STIC  

•  CEH,  CISSP  &  CSSLP  

www.ccn-cert.cni.es

X JORNADAS STIC CCN-CERT

www.ccn-cert.cni.es

Índice

3

1.  ¿WEBSHELLS?

2.  HOY EN EL MENU TENEMOS…

3.  DETECCIÓN

4.  CONCLUSIONES

www.ccn-cert.cni.es

X JORNADAS STIC CCN-CERT

1. ¿WEBSHELLS?

4

www.ccn-cert.cni.es

X JORNADAS STIC CCN-CERT

1. ¿QUÉ SON?

•  Herramientas de post-explotación. Los atacantes las utilizan a menudo para controlar un sistema comprometido

•  Una webshell es un script subido a un servidor web: PHP, ASP, Perl, Python, Ruby, Cold Fusion, C

•  Los atacantes aprovechan vulnerabilidades como: •  Cross-Site Scripting (XSS) •  Inyección SQL (iSQL) •  Servicios vulnerables (WordPress y otros CMS) •  Vulnerabilidades Remote File Include (RFI) and Local File Include (LFI) •  Portales de administración inseguros

5

www.ccn-cert.cni.es

X JORNADAS STIC CCN-CERT

1. ATAQUE WEBSHELL

6

www.ccn-cert.cni.es

X JORNADAS STIC CCN-CERT

1. ALGUNAS COSAS NUNCA CAMBIAN

•  Compromised Web Servers and Web Shells - Threat Awareness and Guidance. Alert (TA15-314A) https://www.us-cert.gov/ncas/alerts/TA15-314A Noviembre 10, 2015 | Septiembre 29, 2016

•  IBM X-FORCE •  https://securityintelligence.com/got-wordpress-php-c99-webshell-attacks-increasing/

Abril 14, 2016 •  https://securityintelligence.com/the-webshell-game-continues/

Julio 8, 2016 •  https://securityintelligence.com/media/ibm-x-force-research-understanding-the-webshell-

game/ Noviembre 18, 2016

7

www.ccn-cert.cni.es

X JORNADAS STIC CCN-CERT

1. LOS VIPS •  C99 •  B374K •  WSO •  China Chopper / Cknife •  Gamma Group

•  php-reverse-shell http://pentestmonkey.net/tools/web-shells/php-reverse-shell

•  Kali webshells /usr/share/webshells/

8

www.ccn-cert.cni.es

X JORNADAS STIC CCN-CERT

1. CLASIFICACIÓN

9

BAJA  

Una  sola  línea(s)  

MED

IA  

Auten.cación  SI/NO  Ofuscación  SI/NO  Manipulación  Ficheros    

ALTA

Auten.cación    Ofuscación  Ocultación  Manipulación  Ficheros  Capacidades  Ofensivas  Eliminación    

Complejidad  /  Caracterís.cas  

www.ccn-cert.cni.es

X JORNADAS STIC CCN-CERT

2. HOY EN EL MENU TENEMOS…

10

www.ccn-cert.cni.es

X JORNADAS STIC CCN-CERT

2. MUCHAS OTRAS

11

529   rootshell   cybershell   predator   soldierofallah   simple_cmd   dmc  winX   zaco   NTDaddy   myshell   phantasma   ngh   kral  ironshell   lamashell   AK-­‐74   bm   shellroot   shutdown57   B0s0k  jkt48   angelshell   DKShell   cpanel   1n73ac.on   SaudiShell   fatal  lolipop   matamu   PHPSpy   ru24   simaYacker   safe0ver   sincap  ASpy   reader   remexp   zehir   aspcmdshell   pouyashell   kacak  list   up   browser   jspbd   jspshell   up_win32   cmd  dc   pws   fx   GS   cgitelnet   mst   stres  

www.ccn-cert.cni.es

X JORNADAS STIC CCN-CERT

2. webshell: simples

12

www.ccn-cert.cni.es

X JORNADAS STIC CCN-CERT

2. webshell: dmc

13

hYp://gsec.hitb.org/materials/sg2016/D1%20-­‐%20Moonbeom%20Park%20and%20Youngjun%20Park%20-­‐%20Understanding%20Your%20Opponent%20AYack%20Profiling.pdf  

North  Korean  Cyber  Warfare  Group  

www.ccn-cert.cni.es

X JORNADAS STIC CCN-CERT

2. webshell: lifka

14

•  Mul.plataforma  •  Listar  ficheros  •  Información  Sistema  •  Leer  ficheros  sensibles  •  Codificar  /  Decodificar  hashes  •  Mail  bomber  •  Ejecutar  comandos  •  Escaneador  de  puertos    

www.ccn-cert.cni.es

X JORNADAS STIC CCN-CERT

2. webshell: Soldier of Allah

15

www.ccn-cert.cni.es

X JORNADAS STIC CCN-CERT

2. webshell: SyRiAn Shell

16

www.ccn-cert.cni.es

X JORNADAS STIC CCN-CERT

2. webshell: mini php shell

17

www.ccn-cert.cni.es

X JORNADAS STIC CCN-CERT

2. webshell: bloodsec 1

18

www.ccn-cert.cni.es

X JORNADAS STIC CCN-CERT

2. webshell: bloodsec 2

19

www.ccn-cert.cni.es

X JORNADAS STIC CCN-CERT

2. webshell: bloodsec 3

20

www.ccn-cert.cni.es

X JORNADAS STIC CCN-CERT

2. webshell: wso

21

Web  Shell  by  Orb  

www.ccn-cert.cni.es

X JORNADAS STIC CCN-CERT

2. webshell: ayana

22

hYp://stage48.net/wiki/index.php/Ayana_Shahab  

www.ccn-cert.cni.es

X JORNADAS STIC CCN-CERT

2. OFUSCACIÓN

23

eval()    assert()    base64()    gzdeflate()    str_rot13()    

www.ccn-cert.cni.es

X JORNADAS STIC CCN-CERT

3. DETECCIÓN

24

www.ccn-cert.cni.es

X JORNADAS STIC CCN-CERT

3. SIN FORMULAS MÁGICAS •  Según el US CERT:

•  Sistemas actualizados / parches •  Política de Privilegios Mínimos •  Hardening servidores •  Backup •  Validar datos en aplicaciones •  Auditorías de seguridad periódicas •  Implantar WAF, AV, auditorías código, etc.

•  Adicionalmente •  Análisis de Logs •  Integridad de ficheros •  Desarrollo seguro

•  Malware Hunting

25

www.ccn-cert.cni.es

X JORNADAS STIC CCN-CERT

3. DESDE ANTIVIRUS CON AMOR

•  La mayoría de las especies de nuestro zoo no son detectadas por los AV L

26

www.ccn-cert.cni.es

X JORNADAS STIC CCN-CERT

3. HERRAMIENTAS

•  Shell-Detector (Python) https://github.com/emposha/Shell-Detector

•  PHP-Shell-Detector https://github.com/emposha/PHP-Shell-Detector

•  NeoPI https://github.com/Neohapsis/NeoPI

27

www.ccn-cert.cni.es

X JORNADAS STIC CCN-CERT

3. “YARA RULEZ”

•  Loki - Simple IOC and Incident Response Scanner https://github.com/Neo23x0/Loki

•  Web rules https://github.com/1aN0rmus/Yara/tree/master/web

•  Yara Rules https://github.com/Yara-Rules/rules

28

www.ccn-cert.cni.es

X JORNADAS STIC CCN-CERT

3. TODO SOFTWARE TIENE BUGS: C99 BYPASS

29

www.ccn-cert.cni.es

X JORNADAS STIC CCN-CERT

4. CONCLUSIONES

30

www.ccn-cert.cni.es

X JORNADAS STIC CCN-CERT

4. CONCLUSIONES

•  Antiguas herramientas pero siguen dando guerra

•  No existen fórmulas mágicas para su detección, proactivos

•  Defensa en profundidad

31

www.ccn-cert.cni.es

X JORNADAS STIC CCN-CERT

Q&A

•  ¡Gracias!

•  @simonroses

•  @vulnexsl

•  www.vulnex.com •  www.simonroses.com

32

E-­‐Mails  

info@ccn-­‐cert.cni.es  

ccn@cni.es    

sat-­‐inet@ccn-­‐cert.cni.es    

sat-­‐sara@ccn-­‐cert.cni.es    

organismo.cer.ficacion@cni.es    

Websites  

www.ccn.cni.es    

www.ccn-­‐cert.cni.es    

www.oc.ccn.cni.es    

Síguenos  en  

www.ccn-cert.cni.es