Erkennungsregeln on Shelltrap

Bekannte Webshell-Familien

Fri, 04 Sep 2026 12:00:00 +0200

Signaturstrings bekannter PHP-Webshells (c99, r57, b374k, WSO, FilesMan, p0wny), Spam-Mailer und Back-Connect-Helfer. Jede Regel verlangt PHP-Kontext und mindestens zwei unabhängige Indikatoren.

Quelldatei: panomity_known_shells.yar (Lizenz MIT, Autor Panomity GmbH). Scores reichen von 0 bis 100; 85 und darüber markiert einen Fund für sich genommen als malicious, 40 bis 84 als suspicious.

Regel	Score	Was sie erkennt
`Panomity_Shell_C99`	92	Merkmale der c99-PHP-Webshell-Familie
`Panomity_Shell_R57`	92	Merkmale der r57-PHP-Webshell-Familie
`Panomity_Shell_B374k`	92	Merkmale der b374k-PHP-Webshell-Familie
`Panomity_Shell_WSO`	90	Merkmale der WSO-Familie (Web Shell by oRb)
`Panomity_Shell_FilesMan`	88	Merkmal des FilesMan-Dateimanager-Webshell-Moduls
`Panomity_Shell_P0wny`	92	Merkmale der Single-File-PHP-Shell p0wny-shell
`Panomity_Shell_Generic_Mailer_Spam`	86	Merkmale von Massenmailer-Spam-Kits (im Stil von Leaf-/Inbox-Mailer), abgegrenzt von legitimen Mail-Bibliotheken
`Panomity_Shell_Generic_Uname_Backconnect`	87	Generische PHP-Shell mit einem Back-Connect-Helfer, gesteuert durch Request-Eingaben

Einen Fehlalarm melden

Schicken Sie die Finding-ID, den Regelnamen, den SHA-256 und die Datei selbst an falsepositive@shelltrap.com , von der E-Mail-Adresse, die in Ihrem Kundenbereich hinterlegt ist. Mail von einer anderen Adresse wird nicht verarbeitet, und ohne die Datei gibt es keine automatische Prüfung.

Hash-Sets

Fri, 04 Sep 2026 12:00:00 +0200

Shelltrap liefert zwei Arten von Hash-Daten in jeder signierten Generation:

Known-Bad-Hashes (hashes/*.hsb): exakte SHA-256-Treffer bestätigter Schadsoftware. Ein Treffer erzeugt ein malicious-Verdikt mit confidence 100.
Allow-Sets (allow/*.sha256): SHA-256-Hashes verifizierter Dateien, derzeit die WordPress-Core-Dateien unterstützter Releases, heruntergeladen von wordpress.org und von Panomity gehasht. Ein Treffer unterdrückt heuristische Signale für diese Datei; Signatur- und ClamAV-Treffer haben weiterhin Vorrang.

Hashes sind Daten, keine Werke; die Allow-Sets werden von Panomity GmbH unter der MIT-Lizenz veröffentlicht.

Heuristik-Engine

Fri, 04 Sep 2026 12:00:00 +0200

Die Heuristik-Engine (shelltrap:heuristics-v1, proprietär, Panomity GmbH) bewertet Dateien, indem sie unabhängige Signale kombiniert: durch Requests gesteuerte Kommandoausführung, dynamisches eval/assert, kodierte Payload-Schichten, Escape-Dichte, Entropie und lange Zeilen.

Schwache statistische Signale (Entropie, lange Zeilen) erzeugen für sich genommen nie ein suspicious-Verdikt; minifizierte Bundles und Caches bleiben clean.
Dokumentierte Bibliotheksdateien (PHP-Tag zuerst, ein @package/@license-Docblock in den ersten 2 KiB, kein eval/base64_decode/gzinflate) bleiben auch bei escape-lastigem Code unterhalb von suspicious.
Verifizierte WordPress-Core-Dateien werden durch die Allow-Sets freigegeben, bevor die Heuristik läuft.
Je Domain lässt sich heuristics.action auf report, quarantine oder off setzen, und heuristics.threshold hebt die Schwelle für suspicious-Funde an.

Einen Fehlalarm melden

Schicken Sie die Finding-ID, den Regelnamen, den SHA-256 und die Datei selbst an falsepositive@shelltrap.com , von der E-Mail-Adresse, die in Ihrem Kundenbereich hinterlegt ist. Die Datei wird automatisch auf unserer eigenen Hardware in München neu gescannt und analysiert, und die Antwort kommt meist innerhalb einer Stunde von sentinel@shelltrap.com . Ein bestätigter Fehlalarm wird per SHA-256 in der nächsten signierten Generation freigegeben, die sofort veröffentlicht wird; die Heuristik selbst wird in einer späteren Generation angepasst. Der vollständige Ablauf .

PHP-Obfuskationsregeln

Fri, 04 Sep 2026 12:00:00 +0200

Loader- und Obfuskationsmuster: eval/base64-Ketten, assert- und create_function-Loader, preg_replace /e, str_rot13/gzinflate-Schichten, Hex- und chr-Escape-Ketten, goto-Obfuskation.

Quelldatei: panomity_php_obfuscation.yar (Lizenz MIT, Autor Panomity GmbH). Scores reichen von 0 bis 100; 85 und darüber markiert einen Fund für sich genommen als malicious, 40 bis 84 als suspicious.

Regel	Score	Was sie erkennt
`Panomity_PHP_Eval_Base64_Chain`	90	eval() direkt auf einen Decode-/Inflate-Aufruf angewendet — der klassische gepackte PHP-Shell-Loader
`Panomity_PHP_Assert_Superglobal_Loader`	90	assert() als Code-Execution-Senke über Request-Eingaben genutzt
`Panomity_PHP_Assert_Decode_Loader`	88	assert() auf einen Decode-/Inflate-Aufruf angewendet, als Ersatz für eval genutzt
`Panomity_PHP_CreateFunction_Loader`	87	create_function()-Lambda-Body, aufgebaut aus Request-Eingaben oder einem Decode-Aufruf
`Panomity_PHP_PregReplace_E_Modifier`	88	preg_replace() mit dem veralteten /e-Modifier, einer Code-Execution-Primitive in alten PHP-Shells
`Panomity_PHP_StrRot13_GzInflate`	90	Gestapelte str_rot13-/gzinflate-/base64-Decode-Schichten um eine ausführbare Payload
`Panomity_PHP_Hex_Escape_Chain`	85	PHP-Datei, deren ausführbare Bezeichner als lange \x-Hex-Escape-Folgen versteckt sind
`Panomity_PHP_Chr_Concat_Chain`	85	PHP-Bezeichner, zusammengesetzt aus einer langen chr()-Konkatenationskette
`Panomity_PHP_Goto_Obfuscation`	85	PHP-Datei, mit vielen goto-Sprüngen zu zufälligen Labels flachgeklopft — typisch für automatisierte Shell-Packer
`Panomity_PHP_Concat_Eval_Obfuscation`	86	eval/assert-Bezeichner, über String-Konkatenation aufgeteilt, um naive Scanner zu umgehen
`Panomity_PHP_Variable_Function_Superglobal`	89	Variable-Function-Dispatch, bei dem sowohl das Callable als auch das Argument aus Request-Eingaben stammen

Einen Fehlalarm melden

PHP-Remote-Code-Execution-Muster

Fri, 04 Sep 2026 12:00:00 +0200

Direkte Kommandoausführung, gesteuert durch Request-Daten: system/exec/passthru/shell_exec mit Superglobals, Backtick-Ausführung, proc_open-Pipes und Ähnliches.

Quelldatei: panomity_php_rce.yar (Lizenz MIT, Autor Panomity GmbH). Scores reichen von 0 bis 100; 85 und darüber markiert einen Fund für sich genommen als malicious, 40 bis 84 als suspicious.

Regel	Score	Was sie erkennt
`Panomity_PHP_Superglobal_Command_Exec`	90	OS-Kommandofunktion, direkt mit Request-Eingaben gefüttert, einschließlich mit Leerzeichen aufgefüllter Varianten
`Panomity_PHP_Superglobal_Eval`	90	eval() direkt auf Request-Eingaben ausgeführt
`Panomity_PHP_Backticks_Superglobal`	88	Shell-Backtick-Ausführung von Request-Eingaben innerhalb einer PHP-Datei
`Panomity_PHP_Base64_Superglobal_Exec`	87	Command-/eval-Senke, die base64_decode() von Request-Eingaben entgegennimmt
`Panomity_PHP_Image_Polyglot_PHP_Payload`	90	Bilddatei (JPEG/PNG/GIF/ICO-Magic) mit ausführbarer PHP-Payload, angehängt an die Pixeldaten
`Panomity_PHP_Preg_Replace_Superglobal`	86	preg_replace(), dessen Subject oder Replacement aus Request-Eingaben besteht, kombiniert mit dem /e-Modifier

Einen Fehlalarm melden

WordPress-spezifische Dropper

Fri, 04 Sep 2026 12:00:00 +0200

Backdoors, die sich in WordPress-Strukturen verstecken: PHP in Uploads, gefälschte wp-config-Includes, mu-plugins-Backdoors, gefälschte Plugin-Header mit curl/eval, angehängtes eval in index.php.

Quelldatei: panomity_wordpress_droppers.yar (Lizenz MIT, Autor Panomity GmbH). Scores reichen von 0 bis 100; 85 und darüber markiert einen Fund für sich genommen als malicious, 40 bis 84 als suspicious.

Regel	Score	Was sie erkennt
`Panomity_WP_Uploads_PHP_Dropper`	88	PHP-Datei, abgelegt in wp-content/uploads, die eine weitere PHP-Payload schreibt
`Panomity_WP_Config_Fake_Include`	87	Loader im Stil einer gefälschten wp-config, der eine versteckte Payload-Datei inkludiert und auswertet
`Panomity_WP_MuPlugins_Backdoor`	90	Automatisch geladene mu-plugins-Backdoor, die add_action mit dynamischer Codeausführung auf Request-Eingaben kombiniert
`Panomity_WP_Fake_Plugin_Header_Backdoor`	89	Datei mit WordPress-Plugin-Header, die zugleich Remote-Code nachlädt und auswertet
`Panomity_WP_Index_Appended_Eval`	86	WordPress-Bootstrap-Datei mit angehängtem eval-Loader über Request-Eingaben