Detección de herramientas de administración en iMunify360

Las herramientas de administración como Adminer y TinyFilemanager son invaluables para Sysadmins, ofreciendo una interfaz web simple para administrar bases de datos y archivos. Su simplicidad, a menudo encapsulada en un solo archivo PHP, los hace populares.

Sin embargo, esta simplicidad también puede ser una vulnerabilidad. Los atacantes pueden explotar cuentas comprometidas cargando versiones modificadas de estas herramientas con credenciales codificadas. Una vez que estas versiones manipuladas están en su servidor, se pueden usar para cargar malware, instalar WebShells y navegar el sistema sin ser detectado, creando efectivamente una puerta trasera que omite las medidas de seguridad estándar.

Debido a que los atacantes solo alteran las credenciales de contraseña/usuario, el código sigue siendo legítimo, evadiendo la detección de los escáneres de malware actuales. Estos escáneres están diseñados para minimizar los falsos positivos y, a menudo, luchan por diferenciar entre versiones legítimas y maliciosas de las herramientas de administración. Esto se debe a que el código funcional permanece sin cambios, solo las credenciales de autenticación son diferentes. Como referencia, aquí están los proyectos legítimos:

Una vez cargado, estas herramientas pueden aumentar los ataques y mantener el acceso persistente a los sistemas comprometidos. Para mejorar la seguridad, detectar y bloquear tales herramientas por defecto es crucial, reduciendo significativamente la superficie de ataque. En la comunidad de seguridad, este tipo de software se clasifica como doble uso: tanto legítimo como potencialmente malicioso.

Para ayudar a los administradores del servidor a salvaguardar sus sitios web, hemos desarrollado una nueva característica que permite la detección de estas herramientas de administración de doble uso. Esta característica está disponible a partir de las siguientes versiones de iMunify:

• IMunify-Antivirus-8.5.2
• AI-Bolit-32.5.1

Verificar tu versión

Para verificar su versión actual, use los siguientes comandos:

# yum info imunify-antivirus
# yum info ai-bolit

O Debian con sede:

# dpkg -l | grep imunify-antivirus
# dpkg -l | grep ai-bolit

Activación de características

Esta característica está habilitada de forma predeterminada, mejorando significativamente la protección del servidor y evitando más reinfecciones.

Cómo habilitar/deshabilitar la función

Para habilitar la función a través de CLI, use:

# imunify360-agent config update '{"MALWARE_SCANNING": {"admin_tools_detection": true}}'

Para deshabilitar la función a través de CLI, use:

# imunify360-agent config update '{"MALWARE_SCANNING": {"admin_tools_detection": false}}'

Tenga en cuenta que la implementación de la interfaz de usuario para esta función está planificada para futuras actualizaciones. Mientras tanto, puede enviar un ticket de soporte para expresar su interés y agregar peso a su desarrollo.

¡No dude en comunicarse si tiene alguna pregunta o necesita más ayuda!