ShellSweep включает функцию Get-Entropy, которая вычисляет энтропию содержимого файла следующим образом:

• Подсчитывает, как часто каждый символ встречается в файле.
• Использует эти частоты для вычисления вероятности каждого символа.
• Суммирует -p*log2(p) для каждого символа, где p — вероятность символа. Это формула энтропии в теории информации.

Зачем нужен ShellSweepX?

ShellSweepX выводит основную функциональность ShellSweep на новый уровень, предлагая несколько преимуществ по сравнению с традиционными решениями EDR (Endpoint Detection and Response):

1. Специализированная направленность: В отличие от решений EDR, которые охватывают широкий спектр, ShellSweepX специально разработан для обнаружения веб-шеллов. Такая специализация позволяет более точно и эффективно выявлять именно эти угрозы.

2. Низкое потребление ресурсов: ShellSweepX лёгкий и не требует постоянных фоновых процессов или системного мониторинга, в отличие от многих решений EDR. Это означает меньшее влияние на производительность системы.

3. Настраиваемость и прозрачность: Открытый исходный код ShellSweepX обеспечивает полную прозрачность методов обнаружения. Вы можете легко настраивать и точно подстраивать параметры обнаружения под свою среду.

4. Отсутствие зависимости от внешних сервисов: ShellSweepX работает локально, не полагаясь на облачный анализ или постоянные обновления, что гарантирует, что ваши конфиденциальные данные остаются под вашим контролем.

5. Многоуровневое обнаружение: ShellSweepX использует различные методы обнаружения, включая анализ энтропии, сопоставление шаблонов и эвристический анализ, обеспечивая комплексный подход к обнаружению веб-шеллов.

6. Детальная отчётность: ShellSweepX предоставляет подробную информацию о потенциальных угрозах, включая значения энтропии, методы обнаружения и оценки уверенности, что позволяет принимать более обоснованные решения.

7. Кроссплатформенная совместимость: Благодаря версиям на PowerShell, Python и Lua ShellSweepX может быть развёрнут в различных средах.

Хотя ShellSweepX не является заменой полноценного решения EDR, он служит мощным специализированным инструментом в вашем арсенале безопасности, особенно в средах, где веб-шеллы представляют значительную угрозу.

Сравнение функций

ShellScan

ShellScan обеспечивает возможность сканирования нескольких известных каталогов с вредоносными веб-шеллами и вывода среднего, медианного, минимального и максимального значений энтропии по расширениям файлов.

Передайте ShellScan.ps1 несколько каталогов с веб-шеллами любого размера. Я использовал:

• https://github.com/tennc/web shell
• https://github.com/BlackArch/web shells
• https://github.com/tarwich/jackal/blob/master/libraries/

Это даст достойный обучающий набор для получения значений энтропии.

Пример вывода:

ShellCSV

Сначала давайте разберём использование ShellCSV и то, как он помогает определить энтропию «хороших» файлов на диске. Идея в том, что защитники могут запускать его на веб-серверах для сбора всех файлов и значений энтропии, чтобы лучше понять, какие пути и расширения наиболее распространены в их рабочей среде.

Пример вывода см. в ShellCSV.csv.

ShellSweep

Блог: Ghost in the Web Shell: Introducing ShellSweep

Сначала выберите версию: Python, PowerShell или Lua.

• На основе результатов ShellScan или ShellCSV при необходимости измените значения энтропии.
• При необходимости измените расширения файлов. Нет смысла искать ASPX в приложении, не использующем ASPX.
• Измените пути. Я не рекомендую просто сканировать весь C:, это потребует много фильтрации.
• При необходимости измените фильтры.
• Запускайте!

Если вы дошли до этого места, то это этап, на котором вы итеративно настраиваете инструмент. Нашли новый шелл? Соберите энтропию и измените значения.

ShellSweepPlus

Блог: Introducing ShellSweepPlus: Open-Source Web Shell Detection

ShellSweepPlus — это продвинутый скрипт PowerShell, предназначенный для обнаружения и анализа потенциальных веб-шеллов в веб-средах. Он основан на основной функциональности ShellSweep, предлагая расширенные возможности и возможности обнаружения.

Ключевые особенности:

1. Динамическое сканирование: Настраиваемые параметры сканирования, включая пути к каталогам, исключения и игнорирование хешей.
2. Точные пороги энтропии: Использует сложную вложенную хеш-таблицу для индивидуальных порогов энтропии для различных расширений файлов.
3. Многоуровневое обнаружение: Объединяет методы обнаружения на основе энтропии, стандартного отклонения, смешанного режима и эвристики с динамическими весами.
4. Продвинутый статический анализ кода: Использует обширный список подозрительных шаблонов для углублённого обнаружения.
5. Анализ энтропии: Вычисляет и анализирует энтропию содержимого файла для выявления потенциально обфусцированного или зашифрованного вредоносного содержимого.
6. Детальное представление результатов: Выводит потенциальные угрозы в структурированном формате JSON для лёгкого разбора и анализа.
7. Комплексное логирование: Включает подробное логирование для детального понимания операций скрипта.
8. Эвристический анализ: Реализует обнаружение на основе эвристики для выявления аномалий и потенциальных веб-шеллов нулевого дня.

Использование:

1. Укажите каталоги для сканирования в переменной $DirectoryPaths.
2. Настройте $suspiciousPatterns по мере необходимости для вашей среды.
3. Используйте $excludePaths, чтобы пропустить определённые каталоги.
4. Используйте $ignoreHashes или $ignoreHashesFilePath, чтобы исключить известные безопасные файлы.
5. Запустите скрипт в PowerShell версии 5.1 или новее.

Пример вывода:

ShellSweepPlus предоставляет мощное и гибкое решение для обнаружения веб-шеллов, объединяя несколько методов анализа для повышения точности и выявления даже сложных угроз.

Вопросы

Не стесняйтесь открывать вопрос в Git или обращаться к Wiki.

Спасибо

Если вам понравился этот проект, обязательно поставьте ему звезду и поделитесь с семьёй и друзьями.