php.shin_webshell: доменные индикаторы для проверки веб-серверов

По данным Подразделения CRATU, в сводке внешнего источника приведён отдельный трек `php.shin_webshell`.Что новогоВ текущей сводке — 37 индикаторов типа domain. В архиве CRATU есть прежние публикации по теме, однако по доступным метаданным нельзя подтвердить точное совпадение с меткой `php.shin_webshell`. Поэтому текущий выпуск следует рассматривать как новый набор индикаторов, а не как доказательство новой кампании или нового актора. Рабочая аналитическая аналогия — класс PHP web shell; на уровне MITRE ATT&CK ему соответствует Server Software Component: Web Shell (T1505.003). Это описание механизма, а не подтверждение конкретных возможностей, способа первичного доступа или связи с текущими доменами. Домены нельзя автоматически считать списком C2. Предоставленные данные не раскрывают их роль: это может быть C2, relay, доставка, redirector или другой элемент инфраструктуры. Нет подтверждений связи доменов с конкретным актором, кампанией, уязвимостью или единой инфраструктурой.Репрезентативные IOCНиже приведена приоритетная выборка 5 из 37 индикаторов текущей сводки. • jyxigy[.]workers[.]dev — 2 наблюдения из 2 источников; • livincredible[.]workers[.]dev — 2 наблюдения из 2 источников; • 109[.]167[.]153[.]34[.]bc[.]googleusercontent[.]com — одно наблюдение из одного источника; • 16s4e82txk[.]workers[.]dev — одно наблюдение из одного источника; • 178[.]126[.]22[.]34[.]bc[.]googleusercontent[.]com — одно наблюдение из одного источника.Что проверить SOC1. Выполните ретроспективный поиск обращений к доменам в DNS-, прокси- и сетевой телеметрии. Совпадение — повод исследовать узел, а не самостоятельный вердикт. 2. На публичных веб-узлах и PHP-хостах проверьте создание и изменение PHP-файлов в web-root и нетипичных каталогах. Отделяйте запись файла от его запуска: запись может быть штатным развёртыванием, а запуск нужно проверять по журналам веб-сервера и процессной телеметрии. 3. Изучите аномальные HTTP POST к PHP-ресурсам и дочерние процессы от имени веб-сервера. При наличии событий сопоставьте их с изменениями файлов и сетевыми обращениями. 4. Исключите доброкачественные совпадения: обновления CMS, развёртывания приложений и административные POST-запросы. Результат поиска по домену сам по себе не доказывает наличие web shell на конкретном хосте. Нужны согласованные признаки серверного компонента и его использования.