ISPC3: Schadsoftware Scanner für Webordner

[andy1965]

Hallo Leute!

Da immer wieder CMS und Sites gehackt werden, würde ich gerne den www Ordner mit einem Scanner täglich überprüfen, welchen Scanner könnt ihr empfehlen?

Danke vorab.

 

[Till]

Da gibt es zum einen die Klassiker Maldetect bzw. Clamav, die Erkennungsrate bei webseiten malware ist aber eher mäßig.

Daher arbeiten wir seit einiger Zeit an einem neuen Scanner der Signaturen die wir selbst auf Basis von Malwarefunden bei Kunden entwickeln enthält. Du kannst Ihn gern mal ausprobieren:

https://www.howtoforge.de/forum/threads/wordpress-hack.9427/#post-47603

Offiziell released wird er in ein paar Tagen.

 

[robotto7831a]

@Till
Ich bekomme beim Start folgende Fehlermeldung.

Downloading ionCube Loader for your system.
ionCube Check succeeded.
Failed loading /tmp/ioncube/ioncube_loader_lin_5.6.so: /tmp/ioncube/ioncube_loader_lin_5.6.so: undefined symbol: executor_globals
Site error: the file <b>/tmp/ispp_scan.php</b> requires the ionCube PHP Loader ioncube_loader_lin_5.6.so to be installed by the site administrator.

System: Debian Wheezy

 

[Till]

Hi, könntest Du bitte mal die Audgabe von:

php -v

posten. Hast Du da ein manuell kompiliertes PHP laufen oder von einem anderen repo? Irgendwie scheint Dein commandline PHP threadsafety einkompiliert zu haben.

 

[robotto7831a]

Ich habe PHP von dotdeb.

PHP 5.6.15-1~dotdeb+zts+7.1 (cli) (built: Nov 3 2015 16:39:11)
Copyright (c) 1997-2015 The PHP Group
Zend Engine v2.6.0, Copyright (c) 1998-2015 Zend Technologies
with Zend OPcache v7.0.6-dev, Copyright (c) 1999-2015, by Zend Technologies

 

[Till]

Der Scaner sollte jetzt auch mit PHP TS versionen laufen. Bitte einfach noch mal neu runter laden.

 

[robotto7831a]

Ja, startet.

 

[robotto7831a]

Da sind viele false positive.

 

[Till]

Ok, super. Und was gefunden?

Wir haben gerade noch ein größeres Signaturupdate eingespielt (Version 1.5.15).

 

[Till]

Da sind viele false positive.

Auf den Kundensystemen die ich gescannt hab waren fast keine false positives dabei. Was hat er denn bei Dir fälschlicherweise markiert? Wenn es um treffer in den webalizer stats geht, das sind keine FP sondern aufrufe von malware die es in die statistik geschafft haben, die kannst Du ignorieren nur wir können sie nicht whitelisten da es keine FP sind und wir dann auch die dafür verantwotliche malware mit whitelisten würden.

Du kannst false positives auch mit:

./ispp_scan.sh --false-positive=/pfad/zur/datei.php

reporten.

 

[robotto7831a]

Nein, es wurde nichts gefunden.

 

[robotto7831a]

Der hat 346 Dateien mit "suspect.crypted.eval" markiert.

 

[Till]

Ok, dann schau ich mir die sig mal an. Kannst Du mir eine von den falsch markieretn dateien als pm schicken oder über die fp reportfunktion des scriptes?

 

[robotto7831a]

Ist unterwegs.

 

[florian030]

Ich fände es übrigens extrem praktisch, wenn man beim Reporten von FP einen Schalter für y hätte. Dann würde das nämlich auch mit ner bash-schleife gehen.

 

[Croydon]

Die Bash-Schleife sollte in dieser Art funktionieren, falls du etwas suchst, das automatisch "y" tippt.

for L in $(cat /path/to/list) ; do ./ispp_scan.sh --false-positive=${L} < /usr/bin/yes ; done

Inzwischen gibt es aber auch eine --force-yes Option.

 

[hahni]

Also bei mir hat das Tool zuverlässig und einwandfrei funktioniert. Ich konnte mich bezüglich der Software nicht beklagen. Tolle Sache an und für sich. Und eigentlich auch zuverlässiger als MalDet.