Malwarescan over wp-content

Onder ‘Malwarescan’ loopt een patroonzoektocht over de map wp-content. Die leest PHP-bestanden en meldt plekken die typisch zijn voor webshells of versluierde code. De interface markeert elke treffer uitdrukkelijk als verdacht, niet als bevestigd.

Scan starten en bevindingen bekijken

1. Het onderdeel ‘Malwarescan’ vind je in ‘Kakapo Security’ links in de groep ‘Scanner’.
2. Klik in de kaart ‘Verdenkingsscan’ op ‘Scan starten’.
3. De melding aan het eind noemt het aantal gescande bestanden, het aantal vindplaatsen en de duur in seconden.
4. Bekijk in de kaart ‘Vindplaatsen’ de kolommen bestand, regel, patroon en fragment.
5. Open elk gemeld bestand zelf en beoordeel de plek voordat je iets verwijdert of wijzigt.

Waarnaar er wordt gezocht

• eval in combinatie met base64_decode, gzinflate, gzuncompress, str_rot13 of rawurldecode
• assert, systeemaanroepen als shell_exec of passthru en call_user_func rechtstreeks met gegevens uit $_POST, $_GET of $_REQUEST
• preg_replace met de e-modificator en create_function samen met base64_decode
• eval of assert, toegepast op een lange base64-tekst
• bekende shell-kenmerken als c99shell, r57shell of b374k
• meer dan 60 hexreeksen van de vorm \xNN in één bestand als aanwijzing voor versluiering
• PHP-bestanden in de uploadsmap — die worden onafhankelijk van hun inhoud gemeld

Legitieme code kan op dezelfde patronen lijken, vandaar de aanwijzing in de interface om elke treffer handmatig te controleren. De scan leest de bestanden alleen; hij wijzigt, verplaatst of verwijdert niets. Hij start uitsluitend op een druk op de knop — automatisch loopt dagelijks alleen de core-controle.