Web Shell

Eine Web Shell ist eine Datei, die ein Angreifer heimlich auf einem fremden Webserver ablegt. Der Server ist ein Computer, der Webseiten oder andere Dienste für Nutzer bereitstellt. Die Datei sieht für den Server aus wie eine ganz normale Webseite — tatsächlich enthält sie ein verstecktes Steuerprogramm. Wer die Adresse dieser Datei kennt, kann darüber Befehle an den Server schicken, genau so, als säße er direkt davor. Das alles passiert über den normalen Kanal, den jeder Browser benutzt, und fällt deshalb oft lange nicht auf.

Web Shells als Dauerzugang für Angreifer

Der entscheidende Vorteil einer Web Shell aus Sicht eines Angreifers ist ihre Beständigkeit. Eine Sicherheitslücke, die den ersten Einbruch ermöglicht hat, kann danach geschlossen werden — die Web Shell bleibt trotzdem auf dem Server liegen. Der Angreifer hat also einen dauerhaften Hintereingang, den Fachleute als „Backdoor“ bezeichnen.

Das macht Web Shells besonders gefährlich für Unternehmen und Behörden. Ein Angreifer kann Monate lang unentdeckt bleiben, Daten abgreifen oder den Server für weitere Angriffe auf andere Systeme nutzen. Sicherheitsforscher finden bei Untersuchungen kompromittierter Server regelmäßig Web Shells, die dort schon seit einem Jahr oder länger schlummerten.

Aufbau und Tarnung einer Web Shell

Eine Web Shell besteht im Kern aus wenigen Zeilen Programmcode, der in einer Sprache geschrieben ist, die der Webserver ohnehin ausführen kann — zum Beispiel PHP oder Python. Dieser Code nimmt einen Befehl entgegen, führt ihn auf dem Server aus und schickt das Ergebnis zurück. Im einfachsten Fall sind das tatsächlich nur drei bis fünf Zeilen.

Um nicht entdeckt zu werden, verschleiern Angreifer diesen Code. Sie benennen die Datei harmlos, etwa „image_resize.php“, oder verstecken den eigentlichen Code hinter einer unlesbaren Zeichenfolge, die der Server erst beim Ausführen entschlüsselt. Manche Web Shells sehen im Browser aus wie ein vollständiges Bedienfeld mit Dateimanager, Texteingabe und Statusanzeige — die ganze Oberfläche läuft dabei auf dem angegriffenen Server.

Wichtig ist der Unterschied zu einem Virus: Eine Web Shell verbreitet sich nicht selbst. Sie wird aktiv platziert, nachdem ein Angreifer bereits eine erste Lücke gefunden hat — etwa ein veraltetes Plugin eines Content-Management-Systems, also einer Software, mit der Webseitenbetreiber ihre Inhalte verwalten. Die Web Shell ist damit kein Einbruchswerkzeug, sondern das Schloss, das danach an die aufgebrochene Tür geschraubt wird.

Web Shells in Sicherheitsvorfällen und Nachrichten

Web Shells tauchen immer wieder in großen Sicherheitsvorfällen auf. Im Jahr 2021 nutzten staatliche Angreifer aus China eine Schwachstelle in Microsoft Exchange aus — einer weit verbreiteten E-Mail-Software für Unternehmen. Sie platzierten dabei zehntausende Web Shells auf Servern weltweit, bevor Microsoft die Lücke schließen konnte. Behörden in Europa und den USA zählten damals zu den Betroffenen.

Auch Ransomware-Gruppen — Kriminelle, die Daten verschlüsseln und Lösegeld verlangen — setzen Web Shells als Zwischenschritt ein. Sie verschaffen sich Zugang, erkunden das Netzwerk über Wochen, und starten den eigentlichen Angriff erst, wenn sie genug über das Ziel wissen. Web Shells sind in diesem Ablauf oft der unsichtbare erste Schritt, der im Nachhinein rekonstruiert wird.

Für die Abwehr suchen Sicherheitsteams mit spezialisierten Programmen nach auffälligen Dateien auf ihren Servern — etwa nach Code, der versteckte Zeichenfolgen entschlüsselt, oder nach Dateien, die kürzlich verändert wurden, ohne dass jemand aus dem Team etwas hochgeladen hat. Auch Geheimdienste wie das deutsche BSI, das Bundesamt für Sicherheit in der Informationstechnik, veröffentlichen regelmäßig Warnungen und Erkennungsregeln speziell für Web Shells.