Los códigos de salida están diseñados para la automatización de flotas: `ioc-scan` sale con `4` en
COMPROMISED, `1` en VULNERABLE; `mitigate` sale con `0` limpio / `1` aplicado
/ `2` manual / `3` error de herramienta; `remote-probe` sale con `2` si algún objetivo está
VULN.

---

## Herramientas

En orden de prioridad operativa. Cada artefacto emite salida estructurada
(`--json` / `--jsonl` / `--csv`) con claves `host`, `os`, `cpanel_version`,
`ts` para la consolidación de flota.

| Herramienta | Rol | Dónde se ejecuta |
|---|---|---|
| **[`sessionscribe-ioc-scan.sh`](#sessionscribe-ioc-scansh---ioc-ladder--kill-chain)** | Triage de primera clase. Escalera de IOC, veredictos de estado de código + estado de host, reconstrucción de la cadena de ataque, paquete de IR. | en el host de cPanel |
| **[`sessionscribe-mitigate.sh`](#sessionscribe-mitigatesh---mitigation-orchestrator)** | Cerrar la ventana. Mitigación por fases: comprobación de parches, firewall, proxysub, ModSec. | en el host de cPanel |
| **[`sessionscribe-remote-probe.sh`](#sessionscribe-remote-probesh---non-destructive-fleet-probe)** | Colateral de soporte. Sonda no destructiva de 4 fases → VULN/SAFE por host. | en cualquier lugar con `curl` |
| [`modsec-sessionscribe.conf`](#supporting-collateral) | Paquete de reglas ModSec desplegado por `mitigate`. | front-end de Apache |
| [`sessionscribe-revsnap.sh`](#supporting-collateral) | Recopilador de instantáneas RE por nivel para comparación de binarios. | en el host de cPanel, alrededor de `upcp` |

GPL v2. Todos los artefactos están listos para `curl` mediante las URLs raw anteriores.

---

## `sessionscribe-ioc-scan.sh` - Escalera de IOC + cadena de ataque

**Ejecútalo primero.** Solo detección por defecto (rápido y apto para flotas);
añade `--full` para ejecutar las fases forenses en línea (línea de tiempo de defensa, ingesta
de ofensiva, conciliación, renderizador de cadena de ataque, paquete de IR).```bash
# fast triage  (detection only)
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh | bash

# full kill-chain reconstruction inline
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh | bash -s -- --full

# full + ship IR bundle to intake
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh | bash -s -- --full --upload

# JSONL for SIEM ingest
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh | bash -s -- --jsonl --quiet > host.jsonl

# host IOCs only - periodic post-patch sweep, last 7 days
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh | bash -s -- --ioc-only --since 7

# replay forensic phases against a saved envelope (no re-scan)
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh | bash -s -- --replay /var/cpanel/sessionscribe-ioc/<run_id>.json

<details>
<summary><b>Referencia de comprobaciones + fases forenses + estructura del bundle</b> (haz clic para expandir)</summary>

| Comprobación | Qué hace |
|---|---|
| `version` | `cpanel -V` frente a la lista publicada de builds parcheadas: determina `code_verdict` |
| `static-pattern` | Busca en `Cpanel/Session/*.pm` los patrones centinela posteriores al parche (rama de decodificación `no-ob:`) |
| `cpsrvd-fingerprint` | Inspección del binario cpsrvd frente a firmas de builds parcheadas |
| `access-log` | Registros de Apache + cpsrvd para detectar formas de tráfico de explotación (`--no-logs` para omitir) |
| `session-store` | Recorrido de `/var/cpanel/sessions/raw/`: IOCs del proveedor + co-ocurrencia de 4 vías + heurística de marcas de tiempo falsificadas (`--no-sessions` para omitir) |
| `destruction` | Sondas de patrones A–G: cifrador `/root/sshd`, limpieza de mysql, índice BTC, `nuclear.x86`, `sptadm` revendedor, recolector `__S_MARK__`, claves SSH sospechosas (`--no-destruction-iocs` para omitir) |
| `probe` (opt-in) | GET de un solo marcador a `127.0.0.1:2087`: confirma que cpsrvd responde. **No** intenta el bypass |

**Fases forenses de `--full`** (se ejecutan en línea tras la detección):

| Fase | Qué hace |
|---|---|
| `defense` | Registra con marca de tiempo cada capa de defensa aplicada: parche de cpanel, reinicio de cpsrvd tras el parche, ejecuciones de mitigate, reglas de ModSec, cierres de puertos CSF/APF, proxysub, resumen de `upcp` |
| `offense` | Registra con marca de tiempo todos los indicadores de compromiso observados (Patrones A–G + cadena de bypass CRLF del Patrón X) |
| `reconcile` | Por indicador: ¿estaba activa la defensa correspondiente cuando apareció por primera vez? PRE-DEFENSE / POST-DEFENSE / POST-PARTIAL / UNDEFENDED + delta de tiempo |
| `bundle` | Tarball de los artefactos sin procesar en `/root/.ic5790-forensic/<TS>-<RUN_ID>/`, modo `0700` |

**Estructura del bundle** (`/root/.ic5790-forensic/<TS>-<RUN_ID>/`):```
manifest.txt              host/uid/cpv/run_id/window/cap
sessions.tgz              /var/cpanel/sessions/{raw,preauth} (filtered)
access-logs.tgz           cpsrvd access + incoming_http_requests + error_log
                          + global Apache access/error (NO domlogs)
system-logs.tgz           /var/log/{secure,messages,audit/audit.log,auth.log}*
cpanel-state.tgz          accounting.log + resellers + cpanel.config + api_tokens_v2
cpanel-users.tgz          /var/cpanel/users/ (split out, per-account state)
persistence.tgz           ssh keys + all cron tiers + systemd/init.d/profile.d
                          + rc.local + root histories + passwd/group + sudoers
defense-state.tgz         mitigate backups + csf/apf/modsec configs + updatelogs
ps.txt / connections.txt / iptables.txt
pattern-a-binary-metadata.txt   only if /root/sshd present (metadata; binary NOT bundled)
user-histories/           per-user .bash_history (gated on --no-history)

| Fase | Qué hace |
|---|---|
| `patch` | `cpanel -V` contra la lista publicada de compilaciones parcheadas (incluyendo EL6 11.86.0.41, EL6/CL6 110.0.103, tier 124, WP² 136.1.7) |
| `preflight` | Elimina `/etc/yum.repos.d/threatdown.repo`; asegura `epel-release`; desactiva los repos no base rotos para que `upcp` no falle a mitad de ejecución |
| `upcp` | Si no está parcheado, inicia `/scripts/upcp --force --bg` |
| `proxysub` | Habilita `proxysubdomains` + la variante de nueva cuenta; reconstruye la conf de httpd |
| `csf` / `apf` / `runfw` | Elimina los puertos de cpsrvd (2082/2083/2086/2087/2095/2096) de `TCP_IN`/`TCP6_IN`/`IG_TCP_CPORTS`; verifica la cadena INPUT de iptables en vivo |
| `apache` | `httpd` en ejecución + `security2_module` cargado |
| `modsec` | `modsec2.user.conf` contiene las reglas `1500030` + `1500031`; se implementa si faltan (copia de seguridad con marca de tiempo, validación con `httpd -t`, recarga sin interrupción) |
| `probe` (opt-in) | Ejecuta `sessionscribe-remote-probe.sh` contra `127.0.0.1` para confirmar las denegaciones en la práctica |

Los repos base/appstream/extras/updates/powertools de CentOS / Alma / Rocky **nunca** son desactivados por `preflight`, incluso si actualmente no están accesibles.

### Códigos de salida

| Código | Significado |
|---|---|
| 0 | limpio - parcheado + postura correcta, no se requiere acción |
| 1 | remediación aplicada correctamente (`--apply` realizó cambios) |
| 2 | se requiere intervención manual (advierte en `--check`, falla en `--apply`) |
| 3 | error de herramienta (argumentos incorrectos, dependencias faltantes, no ser root para `--apply`) |

Selección de fases: `--only LIST`, `--no-PHASE`, `--no-fw` (abreviatura de
`--no-csf --no-apf --no-runfw`). Salida: `--json` / `--jsonl` / `--csv`,
`-o FILE`. Consulta `--help` para la lista completa de opciones.

### Prueba de humo de sesenta segundos```bash
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-mitigate.sh | bash -s -- --list-phases    # surface the phase API
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-mitigate.sh | bash -s -- --check          # safe read-only audit
echo "exit=$?"                                  # 0 on a non-cPanel host

Modos de salida: pretty (predeterminado), `-q`/`--quiet`, `--oneline`, `--csv`,
`--json`. Códigos de salida: `0` sin VULN encontrado, `1` solo no concluyente, `2`
uno o más VULN. Consulta `--help` para la lista completa de banderas, incluida
la semántica de `--auto-host-discover`, `--all`, `--fingerprint-only`, y
el modo `--no-verify` solo de etapa 2 (heredado, produce falsos positivos en hosts
parcheados).

---

## Material de soporte

### `modsec-sessionscribe.conf` - Paquete de reglas de ModSecurity

Se implementa automáticamente mediante `mitigate.sh --apply --only modsec`. Instalación
manual:```bash
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/modsec-sessionscribe.conf \
    | sudo tee /etc/apache2/conf.d/modsec/modsec2.user.conf >/dev/null
sudo apachectl -t && sudo /usr/local/cpanel/scripts/restartsrv_httpd

Se generaliza más allá de SessionScribe: cada futuro CVE de cpsrvd aterrizará en
aproximadamente la misma superficie, y un par de tarballs para la compilación
previa al parche y la parcheada es la diferencia entre horas y días de análisis.
Consulta el [artículo de investigación](https://rfxn.com/research/cpanel-sessionscribe-cve-2026-41940)
para el recorrido completo de RE.

---

## Uso en flotas

> [!TIP]
> Cada artefacto emite salida estructurada (`--json`, `--jsonl`, `--csv`)
> con `host`, `os`, `cpanel_version`, `ts` en cada registro. Diseñado
> para la agregación con `pdsh | jq` o `ansible -m script` en cientos de
> hosts en una sola pasada.

La misma primitiva curl-piped-bash — deja que cada host obtenga y ejecute directamente
el último script:```bash
IOC=https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh
MIT=https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-mitigate.sh
PRB=https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-remote-probe.sh

# IOC scan across fleet, JSONL to SIEM
for h in $(cat fleet.txt); do
    ssh "$h" "curl -fsSL $IOC | bash -s -- --jsonl --quiet"
done | jq -c '.' > fleet-ioc.jsonl

# kill-chain reconciliation across fleet (no bundles on broad sweep)
ansible -i hosts cpanel -m shell \
    -a "curl -fsSL $IOC | bash -s -- --full --no-bundle --jsonl" > fleet-forensic.jsonl
jq -r 'select(.phase=="summary" and .key=="verdict"
              and .note=="COMPROMISED_PRE_DEFENSE") | .host' \
    fleet-forensic.jsonl > pre-defense-hosts.txt

# bundle collection on the pre-defense subset
ansible -i pre-defense-hosts.txt all -m shell \
    -a "curl -fsSL $IOC | bash -s -- --full --jsonl --bundle-dir /root/.ic5790-forensic"

# mitigation posture roll-up
pdsh -w cpanel-fleet "curl -fsSL $MIT | bash -s -- --jsonl --quiet" \
    | jq -c 'select(.severity != "info")' > fleet-mitigate.jsonl

# remote probe sweep - exit 2 on any VULN  (run from operator workstation)
curl -fsSL $PRB | bash -s -- --csv --quiet \
    $(awk '{print "--target "$1}' fleet.txt) > fleet-probe.csv

Verdict es el código HTTP en la solicitud 4. El archivo de sesión en disco en
`/var/cpanel/sessions/raw/<sessname>` es el único artefacto forense
posterior al hecho. La primitiva completa (las dos asimetrías que la componen —
`filter_sessiondata` no en todas las rutas de escritura, el codificador hace
cortocircuito cuando falta `ob_part`) y el argumento arquitectónico para la
aplicación en el extremo del proxy están en el
[artículo de investigación](https://rfxn.com/research/cpanel-sessionscribe-cve-2026-41940).

---

## Indicadores de compromiso

Forma del archivo de sesión falsificado (`/var/cpanel/sessions/raw/<sessname>` tras
la explotación):```
local_port=2087
hasroot=1
hulk_registered=1
pass=x
origin_as_string=address=127.0.0.1,app=whostmgrd,method=badpass
token_denied=1
local_ip_address=127.0.0.1
external_validation_token=cS9C19OfV0hCA4uD
cp_security_token=/cpsess6844364556
ip_address=127.0.0.1
user=root
tfa_verified=1
successful_internal_auth_with_timestamp=9999999999
port=39040
login_theme=cpanel

Señal en el registro de acceso: respuestas exitosas `200`/`302`/`307` en
las rutas `/json-api/`, `/execute/` o `/scripts2/` desde IPs de origen
fuera de la línea base sin un `/login/` 200 previo en la misma
ventana de sesión.

---

## Compilaciones afectadas```
11.86.0.41 (EL6/CL7)   11.110.0.97        11.118.0.63        11.124.0.35
11.126.0.54            11.130.0.19        11.132.0.29        11.134.0.20
11.136.0.5             110.0.103 (EL6/CL6 from .50)

WP Squared:            136.1.7