Notable incidents
Notable web shell incidents, from ProxyLogon to ToolShell
Factual summaries of public web shell campaigns — Equifax, Exchange ProxyLogon and ProxyShell, NetScaler, MOVEit, Ivanti, SharePoint ToolShell — and their lessons.
Referencia defensiva · MITRE T1505.003
Encuentra el web shell antes de que encuentre tus datos.
Una referencia práctica para equipos azules y respuesta a incidentes: cómo se implantan los web shells, dónde dejan rastro, cómo investigarlos y cómo erradicarlos y bastionar de forma duradera.
- Áreas
- 6
- Guías en profundidad
- 9
- Términos del glosario
- 12
case-0142 · correlated timelinehigh
- 10:42:07FIMw3wp.exe created /aspnet_client/.../errorpage.aspx
- 10:42:49LOGPOST /aspnet_client/.../errorpage.aspx · 1 client · no referer
- 10:42:50PROCw3wp.exe → cmd.exe /c whoami /all
- 10:45:13PROCw3wp.exe → cmd.exe → nltest /dclist:
Mapa de defensa
De la primera escritura a las lecciones aprendidas
Seis áreas que siguen una intrusión con web shell de principio a fin. Cada una lleva a su conjunto de guías.
01
Fundamentos
Qué son los web shells, por qué los atacantes los usan y cómo clasificarlos por formato y comportamiento.
T1505.003persistencetaxonomy1 guía · EN
02
Cómo se implantan
Las clases de vulnerabilidades detrás del despliegue: subidas, RCE, escritura de ficheros, accesos de administrador robados, dispositivos perimetrales.
file uploadRCEpath traversal1 guía · EN
03
Indicadores y detección
Integridad de ficheros, registros del servidor web, árboles de procesos y reglas YARA/Sigma: las cuatro capas donde aparecen.
FIMw3wp.exeYARASigma4 guías · EN
04
Investigación forense
Preservar evidencias, hallar la fecha real de creación, reconstruir la cronología y delimitar cada punto de apoyo.
timeline$MFTtimestomping1 guía · EN
05
Erradicación y bastionado
Eliminar cada punto de apoyo, rotar lo expuesto y cerrar las puertas: subidas, mínimo privilegio, WAF, listas de permitidos.
no-exec uploadsWAFWDACSELinux1 guía · EN
06
Incidentes destacados
Casos públicos, de Equifax a ProxyShell, MOVEit y ToolShell, resumidos con rigor y con lecciones para defensores.
ProxyLogonProxyShellMOVEit1 guía · EN
Dónde dejan rastro
Cuatro capas, una intrusión
Un web shell puede esquivar un control, rara vez los cuatro. La visibilidad por capas lo es todo.
- L1
Ficheros
Nuevos ficheros ejecutables en rutas servidas, configuraciones modificadas, propietarios extraños y marcas de tiempo falsificadas.
FIM · Sysmon 11 · auditd
- L2
Registros web
URI poco frecuentes, páginas solo POST, pocos clientes, referers vacíos y tamaños de respuesta muy variables.
W3C · combined · KQL
- L3
Árboles de procesos
w3wp.exe, httpd, php-fpm o java lanzando shells y herramientas de reconocimiento como whoami o nltest.
Sysmon 1 · 4688 · EDR
- L4
Memoria
Implantes en memoria, ensamblados inyectados, filtros y módulos que nunca tocan el disco.
memory image · modules
Guías
Últimas guías
Las guías y el glosario se publican por ahora en inglés.
Eradication & hardening
Eradicating web shells and hardening web servers
Remove web shells without leaving the intruder a way back, then harden: safe upload handling, no-exec directories for nginx, Apache and IIS, WAF, least privilege and application allow-listing.
Forensic investigation
Investigating a web shell: forensic triage and timeline
A step-by-step forensic workflow for a suspected web shell: preservation, artifact collection on IIS and Linux, timestamp analysis, timeline building and scoping the intrusion.
Indicators & detection
YARA and Sigma rules for web shell detection
Write, test and tune YARA rules for suspicious server-side scripts and Sigma rules for web shell behaviour in logs and process telemetry — with annotated examples and a false-positive strategy.
Indicators & detection
Process-tree detection: w3wp, httpd or java spawning shells
Detect web shell activity from process telemetry: suspicious children of IIS, Apache, nginx/PHP-FPM and Java servers, with Sysmon, Event 4688, auditd, KQL and Sigma examples.
Indicators & detection
Web server log analysis for web shell detection
Find web shells in IIS, Apache and nginx access logs: rare URIs, POST-heavy files, few-client patterns, odd user agents and response sizes — with awk, PowerShell, KQL and SPL examples.
Defensivo por diseño
Todo está escrito para defensores: conceptos, detecciones, análisis forense y bastionado. Nunca publicamos código fuente de web shells, cargas útiles desplegables ni exploits.