Informatique légale · Linux

Détecter les web-shells sur Linux-Servern – Identification forensic des scripts malveillants Server

Un « web shell » est un script déposé par un pirate sur un serveur web compromis, qui permet, via une requête web classique, d'exécuter n'importe quelle commande sur le Server et d'obtenir ainsi un accès distant permanent.

Demande sans engagement

Les web-shells sont souvent conçus de manière ciblée pour se fondre visuellement dans les fichiers d'applications légitimes existants, ce qui explique pourquoi leur détection nécessite une connaissance approfondie des modèles et comportements typiques.

Pourquoi LanCologne ?

Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.

L'analyse est en principe effectuée exclusivement sur une copie ou une image à des fins judiciaires, ou sur une source de données enregistrée de manière techniquement équivalente et garantissant la conservation des preuves. L'élément de preuve original reste inchangé et est conservé de manière à garantir la conservation des preuves.

Nos services

Nous analysons systématiquement les systèmes de fichiers des serveurs web à la recherche de modèles de shells web connus et inconnus, nous examinons en détail les fichiers suspects et nous reconstituons leur historique d'utilisation à partir des journaux disponibles.

Domaines d'application typiques

•Identification des web-shells déposés sur des systèmes Servern compromis
•Reconstitution de la voie d'infection initiale
•Preuve des commandes exécutées via un web shell
•Évaluation de l'étendue des dommages après la découverte d'un web shell
•Réponse aux incidents sur les systèmes Linux
•Expertises judiciaires et extrajudiciaires

Voici comment se déroule une enquête sur un web shell

Une fois la sauvegarde effectuée, le système de fichiers du serveur web est systématiquement analysé à la recherche de signatures de web-shells connues ainsi que de modèles de scripts suspects présentant des anomalies structurelles. Les web-shells détectés sont analysés en détail et leur utilisation est reconstituée chronologiquement à partir des journaux du serveur web.

Pourquoi la détection des web shells revêt-elle une importance en matière d'investigation numérique ?

Un web shell non détecté permet à un pirate d'accéder de manière permanente à un système, souvent sans être repéré ; c'est pourquoi leur détection minutieuse est une condition essentielle à un nettoyage complet.

L'analyse des commandes effectivement exécutées via un web shell fournit en outre des indications importantes sur l'ampleur réelle d'un incident, notamment en ce qui concerne une éventuelle fuite de données.

Foire aux questions

Comment détecte-t-on généralement les web shells ?+
Grâce à une combinaison de détection basée sur des signatures de modèles connus et d'analyse manuelle de fichiers script présentant des anomalies structurelles ou dissimulées.
Comment un web shell parvient-il à s'introduire dans un Server ?+
Souvent via une faille exploitée dans une application web, par exemple une fonctionnalité de téléchargement de fichiers non sécurisée.
Est-il possible de reconstituer entièrement, a posteriori, l'utilisation d'un web shell ?+
En fonction des archives disponibles, il est possible de reconstituer les événements de manière assez complète, même si cette reconstitution n'est pas toujours exhaustive.

🔗 Sujets connexes

LanCologne – Analyse informatique légale sous Linux à Cologne

Vous avez besoin d'une expertise judiciaire professionnelle sur le thème „ Détection des web-shells sous Linux-Servern " ? LanCologne vous accompagne dans la sauvegarde des preuves numériques conformément aux exigences judiciaires, ainsi que dans l'analyse traçable des artefacts Linux pertinents.

Nous contacter dès maintenant