ShellSweep

Das Böse wegfegen

Warum ShellSweep

"ShellSweep" ist ein PowerShell/Python/Lua-Tool, das entwickelt wurde, um potenzielle Web-Shell-Dateien in einem angegebenen Verzeichnis zu erkennen.

ShellSheep und seine Suite von Tools berechnen die Entropie des Dateiinhalts, um die Wahrscheinlichkeit abzuschätzen, dass eine Datei eine Web-Shell ist. Hohe Entropie deutet auf mehr Zufälligkeit hin, was ein Merkmal von verschlüsseltem oder obfuskiertem Code ist, der oft in Web-Shells vorkommt.

• Es verarbeitet nur Dateien mit bestimmten Erweiterungen (.asp, .aspx, .asph, .php, .jsp), die häufig in Web-Shells verwendet werden.
• Bestimmte Verzeichnisse können von der Überprüfung ausgeschlossen werden.
• Dateien mit bestimmten Hashes können während des Scans ignoriert werden.

Wie findet ShellSweep die Shells?

Entropie ist im Kontext der Informationstheorie oder Datenwissenschaft ein Maß für die Unvorhersagbarkeit, Zufälligkeit oder Unordnung in einem Datensatz. Das Konzept wurde von Claude Shannon in seinem 1948 veröffentlichten Artikel "A Mathematical Theory of Communication" eingeführt.

Wenn auf eine Datei oder einen Textstring angewendet, kann Entropie helfen, die Zufälligkeit der Daten zu bewerten. So funktioniert es:

• Besteht eine Datei aus vollständig zufälligen Daten (jedes Byte kann mit gleicher Wahrscheinlichkeit jeder Wert zwischen 0 und 255 sein), ist die Entropie hoch, nahe 8 (da log2(256) = 8).
• Besteht eine Datei aus hochgradig strukturierten Daten (z. B. eine Textdatei, in der die meisten Bytes ASCII-Zeichen sind), ist die Entropie niedriger. Im Zusammenhang mit der Suche nach Web-Shells oder bösartigen Dateien kann Entropie ein nützlicher Indikator sein:
• Viele obfuskierte Skripte oder verschlüsselte Payloads können eine hohe Entropie aufweisen, da der Obfuskierungs- oder Verschlüsselungsprozess die Daten zufällig erscheinen lässt.
• Eine normale Textdatei oder HTML-Datei hätte im Allgemeinen eine niedrigere Entropie, da menschenlesbarer Text Muster und Strukturen aufweist (bestimmte Buchstaben sind häufiger, Wörter werden normalerweise durch Leerzeichen getrennt usw.). Eine Datei mit ungewöhnlich hoher Entropie könnte also verdächtig sein und eine weitere Untersuchung wert. Es ist jedoch kein todsicherer Indikator für Bösartigkeit – es gibt viele legitime Gründe, warum eine Datei hohe Entropie haben könnte, und viele Möglichkeiten, wie Malware eine hohe Entropie vermeiden kann. Es ist nur ein Werkzeug in einem größeren Werkzeugkasten zur Erkennung potenzieller Bedrohungen.

ShellSweep enthält eine Get-Entropy-Funktion, die die Entropie des Dateiinhalts berechnet, indem:

• gezählt wird, wie oft jedes Zeichen in der Datei vorkommt.
• diese Häufigkeiten verwendet werden, um die Wahrscheinlichkeit jedes Zeichens zu berechnen.
• für jedes Zeichen -p*log2(p) summiert wird, wobei p die Wahrscheinlichkeit des Zeichens ist. Dies ist die Formel für Entropie in der Informationstheorie.

Warum ShellSweepX?

ShellSweepX bringt die Kernfunktionalität von ShellSweep auf die nächste Stufe und bietet mehrere Vorteile gegenüber herkömmlichen EDR-Lösungen (Endpoint Detection and Response):

1. Spezialisierter Fokus: Im Gegensatz zu EDR-Lösungen, die ein breites Netz auswerfen, ist ShellSweepX speziell darauf ausgelegt, Web-Shells zu erkennen. Dieser spezialisierte Fokus ermöglicht eine genauere und effizientere Erkennung dieser speziellen Bedrohungen.

2. Niedriger Ressourcenverbrauch: ShellSweepX ist leichtgewichtig und erfordert keine ständigen Hintergrundprozesse oder Systemüberwachung, im Gegensatz zu vielen EDR-Lösungen. Dies bedeutet weniger Auswirkungen auf die Systemleistung.

3. Anpassbar und transparent: Der Open-Source-Charakter von ShellSweepX ermöglicht volle Transparenz seiner Erkennungsmethoden. Sie können die Erkennungsparameter einfach an Ihre spezifische Umgebung anpassen und optimieren.

4. Keine Abhängigkeit von externen Diensten: ShellSweepX arbeitet lokal ohne Abhängigkeit von cloudbasierter Analyse oder ständigen Updates und stellt sicher, dass Ihre sensiblen Daten in Ihrer Kontrolle bleiben.

5. Mehrschichtige Erkennung: ShellSweepX verwendet verschiedene Erkennungsmethoden, darunter Entropieanalyse, Mustervergleich und heuristische Analyse, und bietet so einen umfassenden Ansatz zur Web-Shell-Erkennung.

6. Detaillierte Berichterstattung: ShellSweepX liefert detaillierte Informationen über potenzielle Bedrohungen, einschließlich Entropiewerte, Erkennungsmethoden und Konfidenzwerte, was fundiertere Entscheidungen ermöglicht.

7. Plattformübergreifende Kompatibilität: Mit Versionen in PowerShell, Python und Lua kann ShellSweepX in verschiedenen Umgebungen eingesetzt werden.

Obwohl ShellSweepX kein Ersatz für eine vollwertige EDR-Lösung ist, dient es als leistungsstarkes, spezialisiertes Werkzeug in Ihrem Sicherheitsarsenal, insbesondere in Umgebungen, in denen Web-Shells eine erhebliche Bedrohung darstellen.

Funktionsvergleich