hunting-for-webshell-activity
Faz seu agente procurar por arquivos maliciosos (webshells) em servidores web. Ajuda a encontrar invasores que comprometeram sites ou aplicativos.
O que ela faz
Esta ferramenta procura por sinais de que invasores podem ter instalado um 'webshell' em seus servidores web. Um webshell é um tipo de programa malicioso que permite ao invasor controlar o servidor remotamente através da internet.
Quando usar
- ✓Após descobrir que um aplicativo exposto à internet foi invadido.
- ✓Quando alertas de segurança indicam atividades estranhas em processos do servidor web.
- ✓Durante uma investigação de segurança para entender o alcance de um ataque.
Exemplo do que pedir para a IA
“Procure por atividades de webshell nos servidores web expostos à internet.”
Quer saber mais? Abra as seções abaixo.
Como usar
O jeito mais fácil: copie a mensagem abaixo e cole no Claude, ChatGPT, Cursor ou outra IA. Ela lê a skill e segue as instruções.
Link da skill
Mensagem pronta para colar
Como funciona
A ferramenta analisa a criação de arquivos em pastas de sites, processos suspeitos iniciados pelo servidor web e padrões incomuns de requisições pela internet. Ela compara essas informações com o que é considerado normal para identificar atividades maliciosas.
Instalação
Jeito mais fácil: copie o link da skill e cole no Claude, ChatGPT ou Cursor pedindo para seguir as instruções.
No terminal (Claude Code, Codex, Cursor), na pasta do projeto:
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill hunting-for-webshell-activityOu baixe só o arquivo:
curl -L https://raw.githubusercontent.com/mukul975/Anthropic-Cybersecurity-Skills/main/skills/hunting-for-webshell-activity/SKILL.md -o SKILL.mdConteúdo técnico (SKILL.md)
Tradução do texto original do autor no GitHub. Os comandos e códigos estão como no original.
Caça por Atividade de Webshell
Quando Usar
- Ao procurar proativamente por indicadores de atividade de webshell no ambiente.
- Após a inteligência de ameaças indicar campanhas ativas usando essas técnicas.
- Durante a resposta a incidentes para delimitar o escopo de comprometimento relacionado a essas técnicas.
- Quando alertas de EDR ou SIEM disparam em indicadores relacionados.
- Durante avaliações de segurança periódicas e exercícios de time roxo.
Pré-requisitos
- Plataforma EDR com telemetria de processos e rede (CrowdStrike, MDE, SentinelOne).
- SIEM com dados de log relevantes ingeridos (Splunk, Elastic, Sentinel).
- Sysmon implantado com configuração abrangente.
- Encaminhamento do Log de Eventos de Segurança do Windows habilitado.
- Feeds de inteligência de ameaças para correlação de IOCs.
Fluxo de Trabalho
- Formular Hipótese: Defina uma hipótese testável com base na inteligência de ameaças ou análise de lacunas do ATT&CK.
- Identificar Fontes de Dados: Determine quais logs e telemetria são necessários para validar ou refutar a hipótese.
- Executar Consultas: Execute consultas de detecção contra plataformas SIEM e EDR para coletar eventos relevantes.
- Analisar Resultados: Examine os resultados das consultas em busca de anomalias, correlacionando entre várias fontes de dados.
- Validar Descobertas: Distinga verdadeiros positivos de falsos positivos através de análise contextual.
- Correlacionar Atividade: Vincule as descobertas a cadeias de ataque mais amplas e TTPs de atores de ameaças.
- Documentar e Relatar: Registre as descobertas, atualize as regras de detecção e recomende ações de resposta.
Conceitos Chave
| Conceito | Descrição |
|---|---|
| T1505.003 | Web Shell |
| T1190 | Explorar Aplicação Pública |
| T1059.001 | PowerShell |
Ferramentas & Sistemas
| Ferramenta | Propósito |
|---|---|
| CrowdStrike Falcon | Telemetria EDR e detecção de ameaças |
| Microsoft Defender for Endpoint | Caça avançada com KQL |
| Splunk Enterprise | Análise de logs SIEM com consultas SPL |
| Elastic Security | Regras de detecção e linha do tempo de investigação |
| Sysmon | Monitoramento detalhado de eventos do Windows |
| Velociraptor | Coleta de artefatos de endpoint e caça |
| Sigma Rules | Formato de regra de detecção multiplataforma |
Cenários Comuns
- Cenário 1: Webshell China Chopper via vulnerabilidade IIS.
- Cenário 2: ASPXSpy através de upload vulnerável.
- Cenário 3: Shell PHP escondido em arquivo de imagem.
- Cenário 4: Shell JSP via console de gerenciamento Tomcat.
Formato de Saída
Hunt ID: TH-HUNTIN-[DATE]-[SEQ]
Technique: T1505.003
Host: [Hostname]
User: [Account context]
Evidence: [Log entries, process trees, network data]
Risk Level: [Critical/High/Medium/Low]
Confidence: [High/Medium/Low]
Recommended Action: [Containment, investigation, monitoring]
Perguntas frequentes
O que é um 'webshell'?
É um programa malicioso que permite a um invasor executar comandos em um servidor web remotamente, como se tivesse acesso direto a ele.
Quais sistemas são necessários?
Você precisa de um sistema de monitoramento de segurança (EDR) e um sistema de registro de eventos (SIEM) que coletem informações detalhadas dos servidores.
O que a ferramenta procura especificamente?
Ela busca por arquivos criados em diretórios web, processos incomuns rodando a partir do servidor web e tráfego de internet suspeito que possa indicar o uso de um webshell.
Detalhes
Descrição original do autor
Runs a hypothesis-driven threat hunt for web shell deployment (T1505.003) on internet-facing servers by analyzing file creation in web directories, suspicious child-process spawning from web server processes, and anomalous HTTP request patterns. Use when hunting for web shells after a public-facing app compromise, when EDR/SIEM alerts fire on webserver process anomalies, or during incident respons
Popularidade
- Estrelas no GitHub
- 35 mil
- Posição no ranking
- #5816
- Licença
- Apache-2.0
- Atualizada em
- 31/08/2026
Comentários
- …
Mais skills deste repositório
abusing-dpapi-for-credential-access
Dá ao seu agente de IA instruções prontas para uma tarefa específica, para ele fazer melhor e mais rápido.
mukul975/Anthropic-Cybersecurity-Skills
abusing-shadow-credentials-for-privesc
Ensina seu agente de IA a escrever textos claros e bem estruturados.
mukul975/Anthropic-Cybersecurity-Skills
achieving-cmmc-level-2-compliance
Ajuda seu agente a preparar um ambiente para conformidade com CMMC Nível 2. Ele implementa requisitos de segurança e gerencia a documentação necessária.
mukul975/Anthropic-Cybersecurity-Skills
acquiring-disk-image-with-dd-and-dcfldd
Ajuda seu agente a criar cópias exatas de discos rígidos. Isso é útil para garantir que nenhuma informação seja perdida ou alterada durante investigações.
mukul975/Anthropic-Cybersecurity-Skills
Skills parecidas
agent-architecture-audit
Faz seu agente verificar se tudo está funcionando corretamente. Ele encontra e conserta problemas em sistemas de IA, garantindo que funcionem como esperado.
affaan-m/ECC
agent-eval
Ajuda seu agente a comparar diferentes ferramentas de programação de IA. Ele mede qual é mais rápido, barato e confiável para realizar tarefas específicas.
affaan-m/ECC
agent-harness-construction
Faz seu agente entender melhor como realizar tarefas. Ele otimiza as ferramentas e instruções que o agente usa para aumentar suas chances de sucesso.
affaan-m/ECC