ShellSweep

Nettoyage des shells malveillants

Pourquoi ShellSweep

"ShellSweep" est un outil PowerShell/Python/Lua conçu pour détecter les fichiers de web shell potentiels dans un répertoire spécifié.

ShellSheep et sa suite d'outils calculent l'entropie du contenu des fichiers pour estimer la probabilité qu'un fichier soit un web shell. Une entropie élevée indique un caractère plus aléatoire, ce qui est une caractéristique des codes cryptés ou obscurcis souvent présents dans les web shells.

• Il ne traite que les fichiers avec certaines extensions (.asp, .aspx, .asph, .php, .jsp), couramment utilisées dans les web shells.
• Certains répertoires peuvent être exclus de l'analyse.
• Les fichiers avec certaines empreintes peuvent être ignorés lors de l'analyse.

Comment ShellSweep trouve-t-il les shells ?

L'entropie, dans le contexte de la théorie de l'information ou de la science des données, est une mesure de l'imprévisibilité, du caractère aléatoire ou du désordre dans un ensemble de données. Le concept a été introduit par Claude Shannon dans son article de 1948 « A Mathematical Theory of Communication ».

Lorsqu'elle est appliquée à un fichier ou à une chaîne de texte, l'entropie peut aider à évaluer le caractère aléatoire des données. Voici comment cela fonctionne : Si un fichier est constitué de données totalement aléatoires (chaque octet est aussi susceptible d'être n'importe quelle valeur entre 0 et 255), l'entropie est élevée, proche de 8 (car log2(256) = 8).

Si un fichier est constitué de données hautement structurées (par exemple, un fichier texte où la plupart des octets sont des caractères ASCII), l'entropie est plus faible. Dans le cadre de la recherche de web shells ou de fichiers malveillants, l'entropie peut être un indicateur utile :

• De nombreux scripts obscurcis ou charges utiles cryptées peuvent avoir une entropie élevée car le processus d'obscurcissement ou de cryptage donne l'impression que les données sont aléatoires.
• Un fichier texte normal ou un fichier HTML aura généralement une entropie plus faible car le texte lisible par l'homme présente des motifs et une structure (certaines lettres sont plus courantes, les mots sont généralement séparés par des espaces, etc.). Ainsi, un fichier avec une entropie anormalement élevée peut être suspect et mériter une enquête plus approfondie. Cependant, ce n'est pas un indicateur infaillible de malveillance – il existe de nombreuses raisons légitimes pour lesquelles un fichier pourrait avoir une entropie élevée, et de nombreuses façons pour les logiciels malveillants d'éviter de provoquer une entropie élevée. Ce n'est qu'un outil parmi d'autres pour détecter les menaces potentielles.

ShellSweep inclut une fonction Get-Entropy qui calcule l'entropie du contenu d'un fichier en :

• Comptant la fréquence d'apparition de chaque caractère dans le fichier.
• Utilisant ces fréquences pour calculer la probabilité de chaque caractère.
• Effectuant la somme de -p*log2(p) pour chaque caractère, où p est la probabilité du caractère. Il s'agit de la formule de l'entropie dans la théorie de l'information.

Pourquoi ShellSweepX ?

ShellSweepX porte les fonctionnalités principales de ShellSweep au niveau supérieur, offrant plusieurs avantages par rapport aux solutions EDR (Endpoint Detection and Response) traditionnelles :

1. Concentration spécialisée : Contrairement aux solutions EDR qui jettent un filet large, ShellSweepX est spécifiquement conçu pour détecter les web shells. Cette concentration spécialisée permet une détection plus précise et efficace de ces menaces particulières.

2. Faible consommation de ressources : ShellSweepX est léger et ne nécessite pas de processus d'arrière-plan constants ni de surveillance du système, contrairement à de nombreuses solutions EDR. Cela signifie un impact moindre sur les performances du système.

3. Personnalisable et transparent : La nature open source de ShellSweepX permet une transparence totale dans ses méthodes de détection. Vous pouvez facilement personnaliser et affiner les paramètres de détection pour les adapter à votre environnement spécifique.

4. Aucune dépendance aux services externes : ShellSweepX fonctionne localement sans s'appuyer sur une analyse basée sur le cloud ou des mises à jour constantes, garantissant que vos données sensibles restent sous votre contrôle.

5. Détection multicouche : ShellSweepX utilise diverses méthodes de détection, notamment l'analyse d'entropie, la correspondance de motifs et l'analyse heuristique, offrant une approche complète de la détection des web shells.

6. Rapports détaillés : ShellSweepX fournit des informations approfondies sur les menaces potentielles, y compris les valeurs d'entropie, les méthodes de détection et les scores de confiance, permettant une prise de décision plus éclairée.

7. Compatibilité multiplateforme : Avec des versions disponibles en PowerShell, Python et Lua, ShellSweepX peut être déployé dans divers environnements.

Bien que ShellSweepX ne remplace pas une solution EDR complète, il constitue un outil spécialisé puissant dans votre arsenal de sécurité, en particulier pour les environnements où les web shells représentent une menace importante.

Comparaison des fonctionnalités