Co to jest uploader malware? Jak działa i skąd biorą się obce pliki na serwerze?

Uploader malware to złośliwy skrypt lub mechanizm umożliwiający atakującemu przesyłanie kolejnych plików na przejętą stronę internetową lub konto hostingowe. Może służyć do instalowania web shelli, mailerów PHP, backdoorów i innych elementów złośliwego oprogramowania. Jednym z sygnałów infekcji jest pojawianie się na serwerze nieznanych plików, szczególnie gdy po usunięciu wracają lub pojawiają się w kolejnych katalogach.

Nie każdy nieznany plik oznacza jednak infekcję, a sam mechanizm przesyłania plików nie jest z definicji złośliwy. Wyjaśniamy, jak działa uploader malware, skąd mogą brać się obce pliki w WordPressie, dlaczego niektóre infekcje powracają i jak znaleźć źródło problemu.

• Co to jest uploader malware?
• Skąd biorą się obce pliki na serwerze?
• Nieznane pliki w WordPress – czy to zawsze malware?
• Dlaczego uploader jest groźny?
• Uploader, web shell i mailer – jak się ze sobą łączą?
• Jak Monarx chroni przed uploaderem?
• Co zrobić, jeśli pliki pojawiają się ponownie?
• Uploader malware – usuń źródło infekcji, nie tylko plik

Co to jest uploader malware?

Uploader malware to złośliwy skrypt lub mechanizm pozwalający atakującemu umieszczać własne pliki na przejętej stronie lub koncie hostingowym. Monarx klasyfikuje uploadery jako jedną z kategorii malware i wskazuje, że służą one przede wszystkim do instalowania kolejnych złośliwych plików. Uploader nie musi sam wykonywać wszystkich działań związanych z infekcją. Jego podstawowym zadaniem jest stworzenie drogi, przez którą na serwer trafiają kolejne elementy.

Warto jednak odróżnić złośliwy uploader od zwykłego mechanizmu przesyłania plików. Funkcje uploadu są powszechnie wykorzystywane przez formularze, WordPressa, sklepy internetowe i inne aplikacje. Pozwalają dodawać zdjęcia, dokumenty, załączniki oraz pliki potrzebne do działania strony. Prawidłowo działający i zabezpieczony mechanizm tego typu nie jest malware.

Problem pojawia się wtedy, gdy atakujący wykorzysta podatność takiego mechanizmu albo umieści na serwerze własny uploader, który pozwala mu przesyłać pliki bez uprawnienia. Właśnie takim przypadkiem zajmujemy się w dalszej części artykułu.

Skąd biorą się obce pliki na serwerze?

Załóżmy, że doszło do ataku na Twoją stronę. Logujesz się na serwer przez FTP lub Menedżera plików i sprawdzasz strukturę katalogów. Okazuje się, że pojawiły się nowe foldery, nieznane pliki PHP, skrypty o losowo wyglądających nazwach albo pliki zapisane w miejscach, w których wcześniej ich nie było. Część z nich usuwasz, ale po pewnym czasie znajdujesz następne. Powstaje więc najważniejsze pytanie: kto albo co posiada możliwość zapisywania tych plików?

Właśnie w takim scenariuszu jednym z elementów infekcji może być uploader. Aby rozpoczął działanie, atakujący musi wcześniej uzyskać możliwość zapisania złośliwego kodu albo wykorzystać istniejący mechanizm przesyłania plików w sposób, którego autor aplikacji nie przewidział.

Do nieautoryzowanego zapisu plików może dojść m.in. przez:

• wykorzystanie podatności w CMS-ie, wtyczce lub motywie,
• nieprawidłowo zabezpieczony formularz przesyłania plików,
• przejęte dane logowania do panelu administracyjnego lub konta hostingowego,
• pozostawiony wcześniej web shell lub backdoor,
• złośliwy kod działający już wewnątrz strony,
• nieaktualny albo porzucony komponent aplikacji.

Nieprawidłowo zabezpieczony mechanizm uploadu jest szczególnie niebezpieczny, jeżeli pozwala przesłać plik wykonywalny, a następnie uruchomić jego kod na serwerze. W takiej sytuacji przesłany plik może stać się kolejnym narzędziem służącym do przejęcia aplikacji.

Znalezienie i usunięcie obcego pliku nie oznacza automatycznie zakończenia infekcji. Najważniejsze jest ustalenie, skąd plik się wziął i co umożliwiło jego zapis. Przyczyną może być zarówno złośliwe oprogramowanie działające już wewnątrz strony, jak i przejęte konto lub podatny komponent aplikacji.

Nieznane pliki w WordPress – czy to zawsze malware?

Nie. Sam fakt znalezienia nieznanego pliku PHP w katalogach WordPressa nie jest dowodem infekcji. WordPress, jego wtyczki i motywy podczas normalnej pracy mogą tworzyć katalogi, pliki pamięci podręcznej, logi, konfiguracje oraz inne elementy potrzebne do działania konkretnych funkcji. Mogą również modyfikować istniejące pliki lub umieszczać dodatkowe pliki zabezpieczające w wybranych katalogach.

Dlatego sama nazwa pliku lub jego lokalizacja nie wystarcza do jednoznacznej oceny. Znaczenie ma również zawartość, czas utworzenia lub modyfikacji oraz powiązanie pliku z używanym oprogramowaniem.

Szczególną uwagę powinny jednak zwrócić sytuacje, w których:

• pojawiają się nieznane pliki PHP o losowych nazwach,
• pliki zawierają zaciemniony lub trudny do odczytania kod,
• nowe elementy pojawiają się jednocześnie w kilku katalogach,
• na serwerze znajdują się nieznane strony HTML lub treści spamowe,
• usunięte pliki po pewnym czasie pojawiają się ponownie.

Jednym z możliwych scenariuszy jest odtwarzanie złośliwego pliku przez inny element infekcji, który nadal działa na serwerze. Osobnym przypadkiem jest przywrócenie kopii zapasowej wykonanej już po włamaniu – wówczas wraz z backupem można ponownie wprowadzić złośliwy kod.

Nie oznacza to, że za każdym takim przypadkiem odpowiada uploader. Powracający plik wskazuje jednak, że źródło problemu nie zostało jeszcze usunięte albo infekcja została ponownie wprowadzona.

Dlaczego uploader jest groźny?

Uploader nie jest niebezpieczny wyłącznie dlatego, że zapisuje kolejny plik. Jego największe znaczenie wynika z funkcji, jaką pełni podczas infekcji – pozwala dostarczać na przejętą stronę następne narzędzia i elementy złośliwego oprogramowania.

Złośliwy uploader może zostać wykorzystany do przesyłania na serwer m.in.:

• web shelli,
• złośliwych mailerów PHP,
• backdoorów,
• skryptów i stron phishingowych,
• plików odpowiedzialnych za niepożądane przekierowania,
• kolejnych elementów umożliwiających utrzymanie dostępu do strony.

Dlatego usunięcie jednego wykrytego pliku nie zawsze kończy infekcję. Jeżeli uploader nadal działa albo atakujący zachował inny sposób zapisywania plików, usunięte elementy mogą pojawiać się ponownie lub być pobierane z zewnętrznego źródła.

Uploader, web shell i mailer – jak się ze sobą łączą?

Uploader, web shell i mailer pełnią różne funkcje, ale mogą występować w ramach tej samej infekcji. Uploader służy przede wszystkim do umieszczania kolejnych plików. Web shell może umożliwiać atakującemu wykonywanie operacji na przejętej stronie i utrzymanie dostępu. Mailer PHP wykorzystuje natomiast serwer do nieautoryzowanej wysyłki wiadomości, np. spamu.

Jeden z możliwych ciągów zdarzeń wygląda następująco:

Podatność strony → zapis uploadera → przesłanie web shella → instalacja mailera → wysyłka spamu.

Nie jest to jedyny możliwy przebieg infekcji, ale pokazuje, dlaczego pojedynczych wykryć nie należy zawsze analizować osobno. Jeden złośliwy plik bywa jedynie elementem większego mechanizmu, a jego usunięcie nie musi eliminować pozostałych zagrożeń.

Więcej na ten temat przeczytasz w artykułach Co to jest web shell? oraz Co to jest złośliwy mailer PHP?.

Jak Monarx chroni przed uploaderem?

W SEOHOST jednym z elementów ochrony przed złośliwym oprogramowaniem jest Monarx Security. System identyfikuje uploadery jako jedną z kategorii malware, ale jego działanie nie ogranicza się wyłącznie do wykrywania gotowych złośliwych plików zapisanych na dysku.

ThreatShield działa w środowisku wykonywania PHP i analizuje również określone operacje związane z zapisywaniem plików przez aplikację. Dzięki temu może reagować na wybrane niebezpieczne zachowania występujące podczas wykonywania kodu.

Drugą warstwą jest Monarx Antivirus, który analizuje pliki znajdujące się na serwerze i klasyfikuje wykryte zagrożenia. Mechanizmy te wzajemnie się uzupełniają, choć nie oznacza to, że każda operacja zapisu zostanie zablokowana albo każdy złośliwy plik będzie rozpoznany w identyczny sposób.

W praktyce mamy więc dwa istotne obszary ochrony:

• Analiza zachowania aplikacji PHP – rozpoznawanie określonych niebezpiecznych operacji podczas wykonywania kodu.
• Analiza plików zapisanych na serwerze – wykrywanie i klasyfikowanie złośliwego oprogramowania znajdującego się w chronionej przestrzeni dyskowej.

Więcej o działaniu tych mechanizmów przeczytasz w artykule Co obejmuje ochrona Monarx i czego nie skanuje?.

Co zrobić, jeśli pliki pojawiają się ponownie?

Jeżeli usuwasz podejrzany plik, a po pewnym czasie pojawia się on ponownie, nie ograniczaj się do kolejnego kasowania. Taka sytuacja wymaga ustalenia, co odpowiada za ponowny zapis pliku albo czy infekcja nie została przywrócona wraz z kopią zapasową.

Sprawdź przede wszystkim:

• Wykrycia w Monarx Security – jakie pliki lub zdarzenia zostały zarejestrowane przez system ochrony.
• Ostatnio zmodyfikowane pliki – czy nowe elementy pojawiają się w określonych katalogach lub odstępach czasu.
• Katalogi i mechanizmy przesyłania plików – czy aplikacja pozwala na nieautoryzowany zapis plików.
• Wtyczki i motywy – zarówno aktywne, jak i pozostawione na serwerze komponenty, których już nie używasz.
• Konta administratorów – czy nie pojawiły się nieznane konta lub dostęp, którego nie rozpoznajesz.
• Zadania CRON – czy nie działają zadania odpowiedzialne za ponowne uruchamianie lub odtwarzanie złośliwego kodu.
• Plik wp-config.php – czy nie został nieoczekiwanie zmodyfikowany.
• Pozostałe strony na koncie hostingowym – czy źródło infekcji nie znajduje się w innej instalacji.
• Kopie zapasowe – czy przywracany backup nie został wykonany już po infekcji.

Przy powracających infekcjach najważniejsze jest odnalezienie źródła problemu. Może nim być nadal aktywna podatność, pozostawiony backdoor, przejęte konto, złośliwe zadanie wykonywane automatycznie albo inny komponent umożliwiający ponowne zapisanie pliku.

Nie przywracaj wielokrotnie tej samej kopii zapasowej bez sprawdzenia jej stanu. Jeżeli backup został wykonany po infekcji, wraz z jego odtworzeniem możesz ponownie wprowadzić na serwer złośliwe pliki lub podatne komponenty.

Uploader malware – usuń źródło infekcji, nie tylko plik

Uploader malware umożliwia atakującemu dostarczanie kolejnych plików na przejętą stronę internetową. Może współpracować z web shellem, mailerem PHP, backdoorem lub innymi elementami infekcji. Dlatego jego wykrycie powinno prowadzić nie tylko do usunięcia złośliwego pliku, ale także do sprawdzenia, w jaki sposób został zapisany na serwerze.

Nie każdy mechanizm przesyłania plików jest złośliwy. Normalne funkcje uploadu są niezbędne w wielu aplikacjach internetowych. Problem pojawia się wtedy, gdy atakujący uzyskuje możliwość ich nieuprawnionego wykorzystania albo instaluje własny skrypt służący do zapisywania plików.

Warto pamiętać, że powracająca infekcja jest sygnałem do poszukiwania przyczyny, a nie wyłącznie kolejnego pliku do usunięcia. Ochrona hostingu, aktualizowanie aplikacji, kontrola dostępu i analiza wykrytych zagrożeń powinny się wzajemnie uzupełniać.

Ten artykuł jest częścią cyklu o zagrożeniach występujących na stronach internetowych. Sprawdź również, czym jest web shell, złośliwy mailer PHP, phishing oraz adware.

Hosting z ochroną Monarx Security. W SEOHOST mechanizmy ochrony przed malware działają bezpośrednio w środowisku hostingowym i pomagają wykrywać złośliwe pliki oraz niebezpieczne działania aplikacji. Sprawdź hosting SEOHOST z ochroną Monarx.