Shelltrap

Von CXS zu Shelltrap wechseln

Mon, 01 Jan 0001 00:00:00 +0000

Was sich tatsächlich geändert hat

Der ConfigServer eXploit Scanner war lange die pragmatische Antwort für Betreiber, die serverseitiges Malware-Scanning ohne Enterprise-Lizenz je Account wollten. Sein Hersteller, Way to the Web, hat den Vertrieb eingestellt. Verkauft wurde er als einmalige Lizenz je Server (configserver.org , geprüft am 4. September 2026) — genau deshalb ist er auf so vielen Hosts noch installiert und läuft.

Am Tag, an dem der Verkauf endet, geht nichts kaputt. Das ist die Falle. Ein Scanner, der keine neuen Signaturen mehr bekommt, wird nicht rot — er meldet weiter clean, mit stetig weniger Recht dazu. Der Verfall bleibt unsichtbar bis zu dem Tag, an dem jemand anderes die Shell für Sie findet.

Wie Dateierkennung in Echtzeit funktioniert

Mon, 01 Jan 0001 00:00:00 +0000

Das Problem mit geplanten Scans

Ein Cronjob, der um drei Uhr morgens /home durchläuft, hat eine Tugend: Er ist einfach. Alles andere an ihm ist ein Kompromiss.

Eine um 09:15 Uhr hochgeladene Webshell hat achtzehn Stunden Zeit, benutzt zu werden, bevor irgendetwas sie bemerkt. In diesen achtzehn Stunden kann sie Mails versenden, eine Phishing-Seite ausliefern, in ein anderes Konto wechseln oder eine zweite Hintertür an einer Stelle installieren, an der der nächste Scan nicht nachsieht. Wenn der Scan meldet, ist die gefundene Datei oft längst nicht mehr die interessante — sie ist die, die der Angreifer absichtlich zurückgelassen hat.

Impressum

Mon, 01 Jan 0001 00:00:00 +0000

shelltrap.com und die Shelltrap-Software werden von der Panomity GmbH betrieben und herausgegeben. Die nachstehenden Angaben gelten für diese Website und für das Produkt Shelltrap.

Angaben gemäß § 5 TMG

Panomity GmbH Seilergasse 34 D-85570 Markt Schwaben

Handelsregister: HRB 264411 Registergericht: Amtsgericht München - Registergericht -

Vertreten durch: Sascha Endlicher, M.A.

Kontakt

Telefon: +49 8121-7607887 Telefax: +49 8121-7607920 E-Mail: hallo@panomity.de

Sicherheitsmeldungen: security@shelltrap.com

Umsatzsteuer-ID

Umsatzsteuer-Identifikationsnummer gemäß §27 a Umsatzsteuergesetz: DE324810080

Angaben zur Betriebshaftpflichtversicherung

Name und Sitz des Versicherers: Hiscox SA, Niederlassung für Deutschland Arnulfstraße 31 D-80636 München

Installation und Erstinbetriebnahme

Mon, 01 Jan 0001 00:00:00 +0000

Voraussetzungen

Root-Zugriff oder ein Paket-Dienstkonto mit vollen Installationsrechten. Der Broker shelltrapd läuft als root; der Worker läuft als shelltrap-scan, einem Systembenutzer ohne Login-Shell und ohne Home-Verzeichnis.
Ein von CyberPanel unterstütztes Betriebssystem: Ubuntu 20.04, 22.04 oder 24.04; AlmaLinux, RockyLinux oder RHEL 8, 9 oder 10; CloudLinux 8; CentOS 9. Debian wird von CyberPanel nur über Dritte unterstützt und ist nicht zugesichert.
Ein Linux-Dateisystem unterhalb der konfigurierten Kundenverzeichnisse (standardmäßig /home), ausreichend Arbeitsspeicher und ein Kernel, auf dem der Installer die fanotify- und File-Handle-Capabilities tatsächlich prüfen kann.
Für das Full-Profil: mindestens 1,5 GiB MemAvailable, die nach der gemessenen Reload-Reserve verbleiben; diese umfasst den beobachteten clamd-Speicherbedarf zuzüglich eines festen Sicherheitszuschlags. Diese Messung darf nicht durch eine globale sysctl-Änderung ersetzt werden.
Für ClamAV im Full-Profil: ein laufender oder installierbarer clamd und ein Unix-Socket, der für den Benutzer shelltrap-scan erreichbar ist, standardmäßig /run/clamav/clamd.ctl. Ein nur für root lesbarer Socket genügt nicht. Fehlt der Dienst oder der Zugriff des Workers, wird der Zustand degraded und niemals clean.
Für den PHP-Upload-Adapter: eine unterstützte lsphp/LSWS-Installation. Der Adapter benötigt lediglich den lokalen Socket /run/shelltrap/upload.sock.
Werkzeuge: sha256sum, GnuPG und entweder curl oder wget für den Host-Installer; für das CyberPanel-Paket zusätzlich unzip. Abhängigkeiten löst der native Paketmanager auf.

Host-Preflight

Vor jedem Download gibt der Host-Installer rein lesende Fakten über die Maschine aus und verändert nichts:

Wie ein synchrones Upload-Gate funktioniert

Mon, 01 Jan 0001 00:00:00 +0000

Das Fenster, das Sie schließen wollen

Ein Angreifer lädt um 09:15:02 über ein verwundbares Plugin eine Datei hoch und ruft sie um 09:15:04 ab. Zwei Sekunden. Jeder Erkennungsmechanismus mit einer längeren Latenz hat in diesem Fall einen Vorfall dokumentiert statt ihn verhindert.

Asynchrone Erkennung ist wirklich wertvoll — die meisten Kompromittierungen werden nicht innerhalb von Sekunden ausgenutzt, und die Shell in fünf Sekunden statt in achtzehn Stunden zu finden ändert alles an der Bereinigung. Wenn Sie den Upload aber aufhalten wollen, muss die Prüfung stattfinden, während die Anfrage noch unterwegs ist.

Datenschutzerklärung

Mon, 01 Jan 0001 00:00:00 +0000

Diese Erklärung behandelt zwei getrennte Dinge, die man auseinanderhalten sollte:

Diese Website, shelltrap.com — was geschieht, wenn Sie diese Seiten lesen.
Die Shelltrap-Software — was das Programm auf Ihrem eigenen Server übermittelt und was es niemals übermittelt.

1. Verantwortlicher

Panomity GmbH Seilergasse 34, 85570 Markt Schwaben, Deutschland Telefon +49 8121-7607887 · hallo@panomity.de Vertreten durch den Geschäftsführer Sascha Endlicher, M.A. Registergericht Amtsgericht München, HRB 264411 · Umsatzsteuer-ID DE324810080

Wir haben keinen Datenschutzbeauftragten bestellt, weil wir dazu nicht verpflichtet sind. Datenschutzanfragen richten Sie bitte an die vorstehende Adresse; sie werden von der Geschäftsführung beantwortet.

Konfiguration und Richtlinien

Mon, 01 Jan 0001 00:00:00 +0000

Das Richtlinienmodell

Jede Einstellung, die das Verhalten steuert, ist eine Richtlinie auf drei Ebenen:

global — der gesamte Host
account — ein CyberPanel-Benutzer
domain — eine Website oder Child-Domain

Die spezifischere Ebene gewinnt, und jede Ebene kann einzelne Schlüssel erben oder überschreiben. Innerhalb einer Domain sind zusätzlich Pfadregeln mit Globs relativ zum Document-Root möglich.

Die Zuordnung erfolgt über einen Document-Root-Index, den der Broker aus der CyberPanel-Datenbank führt (Website, Child-Domain, Document-Root, Eigentümer) und der per Timer sowie bei Änderungen im Panel aktualisiert wird. fanotify-Ereignisse werden über das längste passende Document-Root-Präfix einem Konto und einer Domain zugeordnet. Der PHP-Adapter übergibt DOCUMENT_ROOT und SERVER_NAME; entscheidend ist der Document-Root, der Servername dient nur als Plausibilitätsprüfung. Dateien außerhalb jedes Document-Roots — E-Mail, Backups, das Home-Verzeichnis — fallen unter die Kontorichtlinie.

Das CyberPanel-Plugin

Mon, 01 Jan 0001 00:00:00 +0000

Vor der Installation

Der Shelltrap-Broker muss laufen, /run/shelltrap/api.sock muss vorhanden sein, und CyberPanel muss installiert sein. Das Plugin-Archiv wird reproduzierbar gebaut und enthält genau ein Verzeichnis shelltrap/ auf oberster Ebene, ohne Caches und ohne Python-Bytecode.

cd /usr/local/CyberCP
/usr/local/CyberCP/bin/python /usr/local/CyberCP/pluginInstaller/pluginInstaller.py \
 install --pluginName shelltrap

Warum die Installation so vorsichtig vorgeht

Der CyberPanel-Installer patcht Kerndateien — CyberCP/settings.py, CyberCP/urls.py und das Sidebar-Template — durch das Einfügen von Zeilen, und seine Hook-Aufrufe nutzen subprocess.call und ignorieren Exit-Codes. Ein fehlgeschlagener Preflight kann die Installation daher nicht daran hindern, Erfolg zu melden.

Geschäftsbedingungen

Mon, 01 Jan 0001 00:00:00 +0000

Die verbindlichen Dokumente

Ein Vertrag über Shelltrap kommt in unserem Shop und Kundenbereich unter shop.shelltrap.com zustande. Verbindlich sind die Dokumente, die dort während des Bestellvorgangs angezeigt und akzeptiert werden:

die Allgemeinen Geschäftsbedingungen der Panomity GmbH,
die Lizenzbedingungen für die Shelltrap-Software, von denen ein Auszug unter Lizenzbedingungen veröffentlicht ist,
die Produktbeschreibung und der Preis in der zum Zeitpunkt der Bestellung angezeigten Form.

Widerspricht etwas auf dieser Website diesen Dokumenten, gelten diese Dokumente. Wenn Sie sie lesen möchten, bevor Sie eine Bestellung beginnen, fragen Sie uns, und wir senden sie Ihnen zu: hallo@panomity.de .

Lizenzbedingungen (Auszug)

Mon, 01 Jan 0001 00:00:00 +0000

1. Was lizenziert wird

Shelltrap ist proprietäre Software der Panomity GmbH. Geliefert werden:

kompilierte, gestrippte Go-Binärdateien (der Broker, der Scan-Worker und die CLI),
der schlanke PHP-Upload-Adapter,
das CyberPanel-Plugin (Python),
die paketierte Konfiguration, systemd-Units, Dokumentation und öffentliche Schlüssel.

Es wird kein Quellcode geliefert. In der Standardlizenz gibt es keine Hinterlegung des Quellcodes.

2. Umfang der Lizenz

Eine Lizenz berechtigt Sie, die Software auf einem Server zu installieren und zu betreiben, für eine unbegrenzte Zahl von Domains, Child-Domains und Konten auf diesem Server. Die Lizenz wird bei der Aktivierung an einen aus /etc/machine-id abgeleiteten Serverfingerabdruck gebunden; die Standardlizenz erlaubt eine gleichzeitige Aktivierung.

Signatur-Feeds

Mon, 01 Jan 0001 00:00:00 +0000

Aktiviert wird nur, was signiert, zweifach verifiziert, gegen ein Known-good- und ein Known-bad-Korpus geprüft und widerrufbar gemacht wurde.

Generationen statt Updates

Ein Regelsatz ist kein Strom von Änderungen, sondern eine Generation: ein unveränderliches, signiertes Verzeichnis. Vendor-Generations-IDs lauten exakt YYYYMMDDTHHMMSSZ-NNNN, zum Beispiel 20260903T120000Z-0001. Lokale Overlays verwenden local-<64 hex characters>.

Lizenzierung und Aktivierung

Mon, 01 Jan 0001 00:00:00 +0000

Die Bestandteile

Begriff	Bedeutung
Lizenzschlüssel	`STL-XXXXX-XXXXX-XXXXX-XXXXX-XXXXX` — Crockford Base32, 25 Nutzzeichen einschließlich zweier Prüfzeichen. Wird bei der Erstellung der Lizenz erzeugt und genau einmal im Klartext zurückgegeben; der Dienst speichert nur `sha256(key)` sowie die ersten neun Zeichen als Anzeigepräfix.
Lizenz	Der Datensatz: Tarif, maximale Serveranzahl (standardmäßig 1), Status (`active`, `suspended`, `terminated`), Ablauf und die Verknüpfung mit Ihrem Konto.
Aktivierung	Die Bindung einer Lizenz an einen Server-Fingerabdruck. Höchstens `max_servers` gleichzeitig; `deactivate` gibt einen Platz frei.
Lizenz-Token	Ein Ed25519-signiertes Dokument, das der Daemon offline verifiziert.
Server-Fingerabdruck	`sha256` über ein festes Präfix und den Inhalt von `/etc/machine-id`. Der Hostname wird nur zur Information übermittelt.

Aktivierung

shelltrap license activate STL-XXXXX-XXXXX-XXXXX-XXXXX-XXXXX
shelltrap license status
shelltrap license renew
shelltrap license deactivate

Das Token landet in /etc/shelltrap/license.token, Eigentümer root, Modus 0600. Der Schlüssel selbst wird nur als Präfix in /etc/shelltrap/license.key abgelegt, ebenfalls 0600, damit Sie ihn für Erneuerungen nicht erneut eingeben müssen. Wenn Sie den Schlüssel lieber gar nicht auf dem Server haben möchten, löschen Sie diese Datei und erneuern manuell.

CXS ist Geschichte: Was CyberPanel-Betreiber tun sollten

Fri, 04 Sep 2026 09:00:00 +0200

Am 30. Juli 2025 veröffentlichte die Way to the Web Ltd eine kurze Mitteilung auf ihrem Blog und auf configserver.com. Einen Monat später war das Unternehmen verschwunden – und mit ihm der kommerzielle Exploit-Scanner, den eine ganze Generation von Hosting-Betreibern routinemäßig installiert hatte.

CXS-Alternativen 2026: der ehrliche Überblick

Fri, 04 Sep 2026 09:00:00 +0200

Der ConfigServer eXploit Scanner war für die meisten CyberPanel- und cPanel-Betreiber das Produkt für diese Aufgabe, und es existiert nicht mehr. Das ist der Stand am 4. September 2026: was tatsächlich passiert ist, was eine stehengebliebene cxs-Installation praktisch bedeutet und was die Alternativen kosten.

CyberPanel-Malware-Scanner mit Shelltrap einrichten

Fri, 04 Sep 2026 09:00:00 +0200

CyberPanel bringt keinen eigenen Malware-Scanner mit, und jede dokumentierte Alternative hat eine Bedingung. Diese Anleitung beschreibt den praktischen Weg zu einem Scanner auf Hostebene auf einem Standard-CyberPanel-Server, in der Reihenfolge, in der wir es tatsächlich tun: am ersten Tag greift nichts ein, aber alles ist sichtbar.

Die WordPress-Webshell-Welle 2024–2026: Was die Daten zeigen

Fri, 04 Sep 2026 09:00:00 +0200

WordPress läuft laut W3Techs auf 40,7 Prozent aller Websites und auf 58,9 Prozent der Sites, deren CMS bekannt ist (geprüft am 4. September 2026 – beide Zahlen werden regelmäßig vermischt, es lohnt sich also zu sagen, welche gemeint ist). Dieser Anteil ist der Grund, warum eine Upload-Lücke in einem Formular-Plugin aus Sicht eines Hosting-Betreibers ein Infrastrukturproblem ist und kein Kundenproblem – und warum sie ausgerechnet Betreiber trifft, die gerade ihren Scanner verloren haben, wie wir in CXS ist Geschichte beschrieben haben.

DSGVO und Datenresidenz beim Malware-Scan

Fri, 04 Sep 2026 09:00:00 +0200

Der Kauf eines Malware-Scanners ist ebenso eine Datenschutz- wie eine Sicherheitsentscheidung, denn die Aufgabe des Produkts besteht darin, jede Datei zu lesen, die Ihre Kunden auf Ihren Server legen. Ob diese Bytes auf der Maschine bleiben, entscheidet darüber, wie viel Papierarbeit und wie viel Risiko Sie mit einkaufen.

Warum Webshell-Erkennung auf den Server gehört, nicht ins CMS

Fri, 04 Sep 2026 09:00:00 +0200

Es gibt eine unredliche Fassung dieses Arguments: Plugin-Scanner taugen nichts, kaufen Sie einen Server-Scanner. Eine fachkundige Leserin zerlegt sie in einem Absatz.

Was ist eine Webshell? Definition für Hoster

Fri, 04 Sep 2026 09:00:00 +0200

Fragen Sie zehn Personen, was eine Webshell ist, und Sie erhalten zehn Antworten, die meisten davon mit Kapuzenpullover. Die brauchbare Definition ist deutlich nüchterner, und sie stammt aus einer neutralen Quelle: Eine Webshell ist ein Skript in einem Verzeichnis, das Ihr Webserver ausliefert, und sie verwandelt eine HTTP-Anfrage in ein Kommando auf Ihrer Maschine.

Changelog

Mon, 01 Jan 0001 00:00:00 +0000

Versionsnummern folgen MAJOR.MINOR.PATCH. Alles unterhalb von 1.0.0 ist ein interner Testbuild: Er läuft auf unseren eigenen Hosts unter Produktionslast, ist nicht herunterladbar und von keiner Kundenzusage gedeckt. Er steht hier, weil ein Scanner, der auf einer echten Maschine nie falsch lag, schlicht nie auf einer war.

Release 1.0 trägt den vollen Umfang: alle Plattformstufen, die Panel-UI mit Rollen, den FTP-Enqueuer, Full- und Lite-Profile mit Messung, die vollständige CyberPanel-Plattformmatrix in der CI, DSGVO-Aufbewahrung und den Reparaturpfad nach einem Panel-Upgrade.

Download

Mon, 01 Jan 0001 00:00:00 +0000

Woraus ein Release besteht

Vier signierte Pakete je Version: der Scanner selbst und die CyberPanel-Integration, jeweils als .deb und .rpm.

Paketdateien eines Shelltrap-Releases
Datei	Paket	Plattform	Architektur
`shelltrap_<version>_<arch>.deb`	Scanner	Ubuntu 20.04 / 22.04 / 24.04	amd64, arm64
`shelltrap-cyberpanel_<version>_all.deb`	CyberPanel-Integration	Ubuntu 20.04 / 22.04 / 24.04	all
`shelltrap-<version>-1.<arch>.rpm`	Scanner	AlmaLinux / RockyLinux / RHEL 8, 9, 10 · CloudLinux 8 · CentOS 9	x86_64, aarch64
`shelltrap-cyberpanel-<version>-1.noarch.rpm`	CyberPanel-Integration	AlmaLinux / RockyLinux / RHEL 8, 9, 10 · CloudLinux 8 · CentOS 9	noarch

Statische Ersatzliste, geprüft am 2026-09-04. Die Liveliste liefert der Lizenzdienst.

Häufige Fragen

Mon, 01 Jan 0001 00:00:00 +0000

Was genau erkennt Shelltrap?

PHP-Webshells und Lader, bekannte Schadsoftware nach Signatur und nach Hash, und die Konfigurationstricks, mit denen ein Angreifer auf einem Host bleibt: umgebogene Handler in .htaccess, aus einer Site heraus gesetztes auto_prepend_file, PHP in Upload-Verzeichnissen, Bild-Header-Polyglotte, Symlinks aus dem Home-Verzeichnis hinaus sowie world-writable und setuid-Dateien. Die Erkennung nutzt ClamAV, YARA 4.5, Hash-Sets mit Known-Good-Allowlist und eine Heuristik, die mehrere unabhängige Signale verlangt.

Verhindert er Ausführung oder erkennt er nur?

Auf dem Web-Upload-Weg verhindert er: Der PHP-Adapter läuft vor Ihrer Anwendung, und ein malicious-Verdikt liefert HTTP 403 und löscht die Temp-Datei. Überall sonst — SFTP, Panel-Dateimanager, WebDAV, Shell — ist die Erkennung asynchron und schnell statt präventiv. Ein Datei-Open auf Kernel-Ebene zu blockieren ist für ein späteres 1.x-Release prototypisiert und wird heute bewusst nicht zugesagt.

Kontakt

Mon, 01 Jan 0001 00:00:00 +0000

Vertrieb, Mengenpreise und Testphase

Schreiben Sie an hallo@panomity.de oder rufen Sie +49 8121-7607887 zu deutschen Geschäftszeiten an.

Was in einer ersten Nachricht nützlich ist, damit die Antwort eine Antwort wird und kein Fragebogen:

wie viele CyberPanel-Server, und welche Distributionen
ungefähr wie viele Accounts und Domains je Server, und ob sie Ihnen oder Ihren Kunden gehören
ob Sie ein normales AlmaLinux oder Ubuntu betreiben oder etwas anderes
was Sie heute zum Malware-Scanning einsetzen und was Sie konkret daran stört

Ab fünf Servern vereinbaren wir Mengen- und Reseller-Preise individuell.

Preise

Mon, 01 Jan 0001 00:00:00 +0000

Server

Ein CyberPanel-Server

Eine Lizenz je Server, ohne Begrenzung der Domains oder Accounts darauf.

14,90 €je Server / Monat · inkl. 19 % MwSt.

Netto für Geschäftskunden: 12,52 €

149,00 €je Server / Jahr · inkl. 19 % MwSt.

Netto für Geschäftskunden: 125,21 € — 2 Monate geschenkt gegenüber monatlicher Zahlung

Echtzeitbeobachtung mit fanotify, mit Rekonsiliation nach Overflow, Reboot oder Upgrade
Das synchrone PHP-Upload-Gate, je Domain fail-open oder fail-closed konfigurierbar
ClamAV, YARA 4.5, Hash-Sets mit Known-Good-Allowlist und erklärbare Heuristik
Signierte Signaturgenerationen mit Provenienz je Regel, Korpus-Gate und automatischem Rollback
Crash-sichere Quarantäne mit vollständigem Metadaten-Restore und gehashter Audit-Kette
Das CyberPanel-Plugin mit Rollen für Administratoren, Reseller und Kunden
Health, Metriken und Audit im Prometheus-Textformat auf einem lokalen Socket
Signierte .deb- und .rpm-Pakete für sechs unterstützte Distributionen

Shelltrap bestellen In den Warenkorb

Die angezeigten Preise enthalten 19 % deutsche Umsatzsteuer. Geschäftskunden im EU-Ausland mit gültiger USt-IdNr. rechnen wir im Reverse-Charge-Verfahren netto ab.

Über Shelltrap und Panomity

Mon, 01 Jan 0001 00:00:00 +0000

Wer das baut

Die Panomity GmbH ist ein kleines Unternehmen in Markt Schwaben, Landkreis Ebersberg, rund zwanzig S-Bahn-Minuten östlich von München. Von hier aus betreiben wir seit Jahren Hosting, Webprojekte und immersive Medienarbeit. Die kaufmännischen Angaben — Registergericht, Umsatzsteuer-ID, Geschäftsführer, Versicherung — stehen im Impressum , wo sie hingehören.

Der für Sie wichtige Teil ist dieser: Wir sind zuerst Hoster und dann Softwarehersteller. Shelltrap läuft auf unseren eigenen Produktionsmaschinen, mit den Dateien unserer eigenen Kunden darauf, bevor er auf Ihren läuft. Wenn im Changelog steht, dass ein Fehler eine Restart-Schleife erzeugt hat, dann ist uns diese Schleife passiert.

Webshell Signal Explorer

Mon, 01 Jan 0001 00:00:00 +0000

Webshell Signal Explorer

Sechs Dinge, die ein Scanner auf einem echten Host sieht. Wählen Sie eines und lesen Sie, warum es eine Aktion auslöst — oder bewusst nicht.

Die klassische erste Stufe. Eine kurze Datei, ein kodierter String, ein Aufruf, der Daten zu Code macht.