Häufige Fragen

PHP-Webshells und Lader, bekannte Schadsoftware nach Signatur und nach Hash, und die Konfigurationstricks, mit denen ein Angreifer auf einem Host bleibt: umgebogene Handler in .htaccess, aus einer Site heraus gesetztes auto_prepend_file, PHP in Upload-Verzeichnissen, Bild-Header-Polyglotte, Symlinks aus dem Home-Verzeichnis hinaus sowie world-writable und setuid-Dateien. Die Erkennung nutzt ClamAV, YARA 4.5, Hash-Sets mit Known-Good-Allowlist und eine Heuristik, die mehrere unabhängige Signale verlangt.

Auf dem Web-Upload-Weg verhindert er: Der PHP-Adapter läuft vor Ihrer Anwendung, und ein malicious-Verdikt liefert HTTP 403 und löscht die Temp-Datei. Überall sonst — SFTP, Panel-Dateimanager, WebDAV, Shell — ist die Erkennung asynchron und schnell statt präventiv. Ein Datei-Open auf Kernel-Ebene zu blockieren ist für ein späteres 1.x-Release prototypisiert und wird heute bewusst nicht zugesagt.

Der Scan läuft in einem Worker mit cgroup-Grenzen für CPU, Speicher und I/O, und der Scheduler fährt Vollscans gegen ein I/O-Budget mit konfigurierbaren Backup-Fenstern. Das Upload-Gate fügt einem Upload-Request höchstens upload.timeout_ms hinzu, standardmäßig 2000 ms. Auf unserem eigenen Referenzhost mit 328 Accounts und 1,1 TB lief ein Rekonsiliations-Crawl mit rund 114 Scans pro Minute bei zwei Workern und rund 270 bei vier.

Er sagt es. Ein toter Worker, eine fehlende Regelmenge, ein nicht erreichbarer clamd oder ein Namespace-Fallback setzen Health auf degraded mit benannter Ursache, und betroffene Dateien tragen das Verdikt degraded. Ein kaputter Scanner meldet nie clean, und das Upload-Gate folgt der on_error-Policy, die Sie konfiguriert haben — standardmäßig fail-open, fail-closed, wenn Sie das für die Domain gewählt haben.

Keine Datei, kein Sample, keine Telemetrie. Es gibt zwei Verbindungen nach außen: die Lizenzprüfung, die das Schlüsselpräfix, einen Hash aus /etc/machine-id, den Hostnamen, die Version und das Betriebssystem sendet; und den Download signierter Signaturgenerationen. Beide enden auf Panomity-Infrastruktur in Deutschland. Telemetriecode wird ohne ausdrückliches Opt-in gar nicht erst geladen.

CyberPanel auf Ubuntu 20.04, 22.04 und 24.04; AlmaLinux, RockyLinux und RHEL 8, 9 und 10; CloudLinux 8; und CentOS 9, mit OpenLiteSpeed oder LiteSpeed Enterprise. Ab Shelltrap 0.3.0 zusätzlich cPanel/WHM auf AlmaLinux 8 und 9 sowie Ubuntu 22.04 und 24.04, als Beta. Debian hat bei CyberPanel selbst nur Third-Party-Support, deshalb sagen wir es nicht zu. Der Installer probiert die tatsächlichen Fähigkeiten des Hosts, statt einer Kernelversion zu glauben.

Ja, seit Shelltrap 0.3.0 als Beta, auf cPanel/WHM-Servern mit AlmaLinux 8 oder 9 beziehungsweise Ubuntu 22.04 oder 24.04. Der Daemon erkennt die Plattform selbst und baut seinen Site-Index aus den cPanel-Userdata: Hauptdomain, Addon-Domains, Subdomains und Parked-Domains. Echtzeit-Wächter, alle Engines, Quarantäne, Policies je Domain, CLI, lokale API, E-Mail-Alerts, signierte Feeds und eine Lizenz je Server sind dieselben wie auf CyberPanel. Beta heißt: gegen das cPanel-Dateiformat implementiert und mit Fixtures getestet, aber noch ohne Langzeitbetrieb auf produktiven cPanel-Hosts. Einzelheiten stehen auf der cPanel-Seite .

Noch nicht; es steht auf der Roadmap, und wir nennen bewusst kein Datum. Auf cPanel bedienen Sie Shelltrap über die CLI und die lokale API — dieselbe Schnittstelle, mit der auch das CyberPanel-Plugin spricht, sodass Funde, Quarantäne, Restore und Policies vollständig erreichbar bleiben. Das PHP-Upload-Gate für EasyApache 4 mit PHP-FPM gibt es, es ist aber optional und standardmäßig aus; der Echtzeit-Wächter sieht dieselben Dateien in jedem Fall.

Wie viel Echtzeitabdeckung der Host tatsächlich geben kann. Stufe A ist fanotify mit Filehandles und voller Abdeckung. Stufe B ist fanotify ohne Filehandles, Umbenennungen kommen also verzögert. Stufe C hat kein CAP_SYS_ADMIN und weicht auf budgetiertes inotify plus einen checkpointbaren Crawler aus, mit verzögerter und ausgewiesener Erkennung. Stufe D bedeutet kein verwendbares Backend und keine Installation.

Nein. Shelltrap läuft auf der Distribution, die Sie schon haben. Dass keine Betriebssystemumstellung nötig ist, ist einer der Gründe, warum es ihn gibt.

Ja: 14 Tage kostenlos im Report-only-Modus. Alle Engines laufen, signierte Feeds werden geladen, Funde und Benachrichtigungen funktionieren — es wird nichts unter Quarantäne gestellt, und das Upload-Gate meldet nur. Voraussetzung ist ein Kundenkonto mit bestätigter E-Mail-Adresse; Wegwerf-E-Mail-Domains werden abgelehnt. Wer im Kundenbereich eine Zahlungsart hinterlegt — Kreditkarte oder PayPal —, bekommt denselben Test auf 30 Tage ab Testbeginn ausgeweitet, mit vollem Umfang außer der automatischen Quarantäne. Einzelheiten und Bedingungen stehen auf der Testseite .

Der Daemon stellt Scans und Feed-Updates ein, genau wie bei einer abgelaufenen Lizenz: Der Watcher zählt weiter Ereignisse, der Scheduler plant nichts, das Upload-Gate antwortet allow mit dem Grund unlicensed, und Health meldet unlicensed mit präziser Ursache. Funde, die Audit-Kette und alles, was bereits in Quarantäne liegt, bleiben auf Ihrer Maschine und im Panel und über die CLI sichtbar. Eine bestellte Lizenz macht auf demselben Server dort weiter, wo der Test aufgehört hat — ohne Neuinstallation.

Einen je Server und einen je Kunde. Der Test hängt am Server-Fingerabdruck — einem Hash aus /etc/machine-id, demselben Bezeichner, den auch eine bezahlte Lizenz nutzt — und wird täglich online erneuert; er läuft also ab Testbeginn seine Zeit und nicht ab der letzten Paketinstallation. Wenn Sie aus einem echten Grund länger brauchen, etwa wegen eines Wartungsfensters, das sich nicht verschieben lässt, schreiben Sie uns.

Eine Lizenz je Server, 14,90 EUR im Monat oder 149,00 EUR im Jahr inklusive deutscher Umsatzsteuer, mit jeder Domain und jedem Account auf dieser Maschine. Ein Trial-Schlüssel ist derselbe Mechanismus mit Enddatum und ohne automatische Quarantäne. Die Aktivierung bindet die Lizenz an einen Fingerabdruck aus /etc/machine-id; deactivate gibt den Platz frei, damit Sie sie umziehen können. Der Daemon prüft einen Ed25519-signierten Token offline, der Lizenzdienst muss also nicht erreichbar sein, damit der Scanner arbeitet.

Nichts stürzt ab, und nichts läuft in eine Schleife. Der Watcher zählt weiter Ereignisse, der Scheduler plant nichts, das Upload-Gate antwortet allow mit dem Grund unlicensed, Health meldet unlicensed mit präziser Ursache, und der Feed-Dienst antwortet 401. Es scheitert sichtbar statt gefährlich.

Es gibt keine, absichtlich. Pakete liefert der Lizenzdienst gegen einen gültigen Lizenz- oder Trial-Schlüssel aus, und die Download-Seite hat genau dafür ein Formular. Der Schlüssel geht direkt an den Lizenzdienst; diese Website sieht und speichert ihn nie, und der Dienst protokolliert nur das Präfix.

Er kann, deshalb sind die Standardwerte vorsichtig: Nur Signatur- und Hashtreffer führen standardmäßig zur Quarantäne, die Heuristik meldet nur, und PUA-Signaturen sind aus. Eine Known-Good-Allowlist aus veröffentlichten Distributionsprüfsummen beantwortet die häufigsten Fehlalarme, und jeder Fund zeigt die Signale, die ihn erzeugt haben, damit Sie widersprechen können. Löst eine Regelgeneration einen Quarantäne-Sturm über mehrere Accounts aus, wird sie automatisch zurückgerollt. Und wenn er doch einmal danebenliegt, ist die Meldung ein automatisierter Vorgang mit Antwort in etwa einer Stunde — siehe Fehlalarme .

Ja, und das Restore ist vollständig: Eigentümer, Modus, Zeiten, ACLs, erweiterte Attribute und der SELinux-Kontext kommen zurück. Restore überschreibt nie eine vorhandene Datei am Zielpfad. Reseller und Kunden können im Panel innerhalb ihres eigenen Bereichs ein Restore anfordern.

Nein. Eine normale Entfernung behält Konfiguration, Zustand, Logs und Quarantäne. Selbst ein Purge entfernt Quarantäneinhalte nur hinter einer ausdrücklichen Umgebungsvariable, die ein Mensch tippen muss. Quarantäne ist Beweismaterial.

Schicken Sie Finding-ID, Regelnamen und SHA-256 — alle drei stehen in der Fund-Mail — zusammen mit der Datei selbst an falsepositive@shelltrap.com , und zwar von der E-Mail-Adresse, die in Ihrem Kundenbereich hinterlegt ist. Die Datei wird mit der aktuellen Generation neu gescannt und automatisch auf unserer eigenen Hardware in München analysiert; die Antwort kommt in der Regel innerhalb einer Stunde von sentinel@shelltrap.com . Ein bestätigter Fehlalarm wird per SHA-256 in der nächsten signierten Feed-Generation freigegeben, die sofort veröffentlicht wird und die jeder Server beim nächsten Feed-Refresh übernimmt. Der vollständige Ablauf, auch was mit der Datei passiert, steht auf der Seite zu Fehlalarmen .

Von sentinel@shelltrap.com . Nehmen Sie sie in die Allowlist des Filters auf, der Ihr Admin-Postfach schützt, bevor Sie Aktionen einschalten. Antworten an diese Adresse werden gelesen, sie ist aber kein Support-Kanal: Support läuft über den Kundenbereich oder hallo@panomity.de , ein vermuteter Fehlalarm über falsepositive@shelltrap.com .

Eine lokale: HTTP/1.1 über einen Unix-Socket unter /run/shelltrap/api.sock, mit Peer-Credential-Prüfung, Rollen, opaken Objekt-IDs, Paging, Ratenbegrenzung und Replay-Schutz. Sie ist nicht über TCP erreichbar und keine öffentliche Cloud-API. CLI und CyberPanel-Plugin sprechen beide mit ihr.

Er ist keine WAF, keine Firewall und kein Virenscanner für Arbeitsplatzrechner. Er behauptet nicht, alles zu finden — kein Scanner tut das. Und gegen einen Angreifer, der schon root auf der Maschine hat, hilft er nicht, weil nichts, was auf dieser Maschine läuft, das kann.