Skan malware w wp-content

W sekcji „Skan malware” (po niemiecku: „Malware-Scan“) przebiega wyszukiwanie wzorców w katalogu wp-content. Czyta ono pliki PHP i zgłasza miejsca typowe dla webshelli lub zaciemnionego kodu. Interfejs oznacza każde trafienie wyraźnie jako podejrzane, a nie jako potwierdzone.

Uruchom skanowanie i obejrzyj ustalenia

1. Punkt „Skanowanie złośliwego oprogramowania” leży w „Kakapo Security” po lewej stronie w grupie „Skaner”.
2. Kliknij w karcie „Skanowanie podejrzanych plików” na „Uruchom skanowanie”.
3. Komunikat na końcu podaje liczbę przeskanowanych plików, liczbę znalezisk i czas trwania w sekundach.
4. Obejrzyj w karcie „Znaleziska” kolumny plik, wiersz, wzorzec i fragment.
5. Otwórz każdy zgłoszony plik samodzielnie i oceń to miejsce, zanim coś usuniesz lub zmienisz.

Czego się szuka

• eval w połączeniu z base64_decode, gzinflate, gzuncompress, str_rot13 lub rawurldecode
• assert, wywołania systemowe takie jak shell_exec czy passthru oraz call_user_func bezpośrednio z danymi z $_POST, $_GET lub $_REQUEST
• preg_replace z modyfikatorem e oraz create_function razem z base64_decode
• eval lub assert zastosowane do długiego tekstu Base64
• znane oznaczenia powłok takie jak c99shell, r57shell czy b374k
• ponad 60 sekwencji szesnastkowych postaci \xNN w jednym pliku jako wskazówka zaciemniania kodu
• pliki PHP w katalogu uploads — zgłaszane są niezależnie od swojej treści

Legalny kod może przypominać te same wzorce, stąd wskazówka w interfejsie, by sprawdzić każde trafienie ręcznie. Skanowanie tylko czyta pliki; niczego nie zmienia, nie przenosi ani nie usuwa. Uruchamia się wyłącznie po naciśnięciu przycisku — automatycznie codziennie działa jedynie kontrola rdzenia.