# Agħraf cronjobs moħbija bħala backdoor

> Agħraf backdoor ta' cronjob: iċċekkja l-postijiet kollha tal-kompiti skedati taħt Linux, interpreta daħliet suspettużi u salva s-sejbiet qabel ma tħassar.

Sors: https://phpsos.de/mt/blog/cronjobs-als-hintertuer/  
Stat: 25/10/2026  
Fornitur: PHP SOS, Għajnuna ta' emerġenza għal PHP u sigurtà tas-server. Għajnuna immedjata fuq WhatsApp: https://wa.me/491736494914?text=Bongu%20PHP%20SOS%2C%20g%C4%A7andna%20b%C5%BConn%20g%C4%A7ajnuna%20bis-server%20tal-PHP%20tag%C4%A7na.%20Kumpanija%3A%20%E2%80%A6%20Websajt%3A%20%E2%80%A6

**Fil-qosor:** Cronjob moħbi huwa wieħed mill-backdoors l-aktar komuni fuq servers tal-Linux: iniżżel kodiċi malizzjuż regolarment jew jerġa' jibda proċessi, anke wara aġġornament ta' PHP. Iċċekkja l-postijiet kollha tal-kompiti skedati, mhux biss `crontab -l`: crontabs tal-utenti kollha, `/etc/crontab`, `/etc/cron.d`, il-folders cron, timers ta' systemd u kompiti at. Salva s-sejbiet qabel ma tneħħihom.

## Għaliex cronjobs huma tant popolari bħala backdoor

Wara dħul b'suċċess attakkant għandu problema: l-aċċess tiegħu huwa fraġli. Aġġornament jagħlaq il-vulnerabbiltà, amministratur iħassar il-webshell, restart itemm il-proċess. Cronjob isolvi din il-problema. Jibda kmandi f'ħinijiet fissi, mingħajr ma jintervjeni xi ħadd, u hekk jerġa' jistabbilixxi aċċessi mitlufa.

Għal PHP2Shell m'hemm l-ebda Indicators of Compromise ikkonfermati. Cronjobs ġodda, madankollu, skont ir-rapporti li għandna quddiemna, jagħmlu parti mis-sinjali ġenerali ta' twissija wara dħul permezz ta' applikazzjonijiet tal-web. Min diġà fittex webshells għandu jiċċekkja l-kompiti skedati fl-istess ħin. Il-passi l-oħra ta' segwitu telenkahom il-[Lista ta' kontroll wara hack](https://phpsos.de/mt/ratgeber/checkliste-nach-dem-hack/).

## Fejn jistgħu jinħbew kompiti skedati

Linux jaf diversi mekkaniżmi għal kompiti skedati. Ħafna verifiki jfallu għax jitħares lejn wieħed minnhom biss.

| Post | Debian/Ubuntu | Familja RHEL | Min jista' jikteb |
|---|---|---|---|
| Crontab għal kull utent | `/var/spool/cron/crontabs/` | `/var/spool/cron/` | l-utent rispettiv |
| Crontab tas-sistema kollha | `/etc/crontab` | `/etc/crontab` | root |
| Fajls individwali | `/etc/cron.d/` | `/etc/cron.d/` | root |
| Folders perjodiċi | `/etc/cron.hourly` sa `/etc/cron.monthly` | bl-istess mod | root |
| Timers ta' systemd | `/etc/systemd/system/`, units tal-utenti | bl-istess mod | root, parzjalment utenti |
| Kompiti at | Kju ta' `atd` | bl-istess mod | utent, jekk permess |

Importanti għas-server tal-web: l-utent tas-server tal-web ġeneralment jista' joħloq il-crontab proprju tiegħu, mingħajr drittijiet ta' root. Attakkant bid-drittijiet ta' `www-data` għalhekk ma jeħtieġx vulnerabbiltà oħra għal dan. Daħliet f'`/etc/cron.d` jew units ta' systemd, min-naħa l-oħra, jindikaw li kiseb drittijiet ta' root.

Panels tal-hosting bħal Plesk jew cPanel joffru interface proprja għal kompiti skedati. Wara hemm ġeneralment ukoll crontabs tal-utenti rispettivi tas-sistema. Min iħares biss fl-interface għalhekk ma jagħrafx kull daħla li nħolqot direttament fuq is-server. Fid-dubju iċċekkja t-tnejn.

## Kif tivverifika l-postijiet kollha kompletament

Il-kmandi li ġejjin jaqraw biss. Esegwihom bħala root u aħżen l-outputs bid-data.

```bash
# Ħrġu l-crontabs tal-utenti kollha
for u in $(cut -d: -f1 /etc/passwd); do
  out=$(crontab -l -u "$u" 2>/dev/null) && printf '### %s\n%s\n' "$u" "$out"
done

# Daħliet tas-sistema kollha u ħinijiet tal-bidla
cat /etc/crontab
ls -la --time-style=full-iso /etc/cron.d /etc/cron.hourly /etc/cron.daily /etc/cron.weekly /etc/cron.monthly

# Timers ta' systemd u kompiti at
systemctl list-timers --all
atq 2>/dev/null

# Fittex mudelli tipiċi fil-fajls cron kollha
grep -rnE "curl|wget|base64|/tmp/|/dev/shm|\| *(ba)?sh" /etc/crontab /etc/cron.* /var/spool/cron 2>/dev/null
```

Żewġ tricks jixirqilhom attenzjoni partikolari. Xi daħliet jaħbu kmandi wara ħafna spazji, b'mod li fl-editur joħorġu mix-xellug 'il barra mill-iskrin. Oħrajn jużaw karattri ta' kontroll li fl-għarrieda jissostitwixxu t-test. B'`cat -A` karattri bħal dawn isiru viżibbli:

```bash
cat -A /var/spool/cron/crontabs/www-data 2>/dev/null | less
```

Perspettiva oħra huma l-protokolli tas-servizz cron. Fuq ħafna sistemi cron jinnota kull eżekuzzjoni bl-utent u l-kmand. Hekk tara wkoll daħliet li attakkant neħħa fil-frattemp, u tagħraf sa minn meta jaħdem kmand suspettuż:

```bash
# Kmandi cron esegwiti mill-utent tas-server tal-web (Debian/Ubuntu jew journal ta' systemd)
grep -h "CRON" /var/log/syslog* 2>/dev/null | grep -E "\((www-data|apache|nginx)\) CMD"
journalctl -u cron -u crond --since "2026-10-17" --no-pager 2>/dev/null | grep CMD | head -100
```

## Kif tagħraf backdoor ta' cronjob

1. **Tniżżil mill-internet:** Download li r-riżultat tiegħu jingħadda direttament lil shell.
2. **Kontenut kodifikat:** Sekwenzi twal ta' karattri li jiġu dekodifikati biss waqt it-tħaddim.
3. **Mogħdijiet mhux tas-soltu:** Programmi f'`/tmp`, `/dev/shm`, folders moħbija jew direttorji tal-upload.
4. **Utent żbaljat:** Kompiti taħt l-utent tas-server tal-web, għalkemm l-applikazzjoni ma teħtieġ ebda.
5. **Ritmu li jaqbad l-għajn:** Eżekuzzjoni kull minuta jew f'kull restart permezz ta' `@reboot`.
6. **Timestamps mhux xierqa:** Fajl mibdul f'perjodu li fih ħadd ma ħadem fuq is-server, pereżempju wara s-17 ta' Ottubru.

Tinsiex: anke l-applikazzjonijiet għandhom skedi proprji. WordPress, pereżempju, jamministra kompiti skedati fid-database. Kif tivverifika hemmhekk tiddeskrivih [Sib backdoors f'WordPress](https://phpsos.de/mt/ratgeber/backdoor-wordpress-finden/).

> **Importanti:**
> Cronjob rari jiġi waħdu. Min ħoloq kompitu skedat spiss ħalla wkoll ċwievet SSH jew ħeba fajls. Iċċekkja addizzjonalment iċ-ċwievet, kif deskritt fl-artikolu [Sib ċwievet SSH mhux magħrufa](https://phpsos.de/mt/blog/ssh-schluessel-pruefen/).

## Salva s-sejba, fehem, imbagħad neħħi

Cronjob malizzjuż huwa biċċa prova prezzjuża. Juri l-indirizz tat-tniżżil, il-mument tal-ħolqien u spiss l-utent li minnu daħal l-attakkant. Salva l-fajl bil-checksum u t-timestamps, qabel ma tneħħih. It-timestamp jgħin aktar tard biex tiġi rikostruwita s-sekwenza; kif isir juri [Oħloq l-iskeda taż-żmien ta' inċident](https://phpsos.de/mt/blog/zeitleiste-eines-vorfalls/). Anke għal notifika possibbli lill-awtorità tal-protezzjoni tad-data jew għall-assiguratur is-sejba hija prova importanti ta' sa minn meta l-attakkant kellu aċċess.

It-tneħħija waħedha mhijiex biżżejjed. Jekk għad hemm proċess li jerġa' jikteb id-daħla, tkun lura wara l-minuta li jmiss. U sakemm il-vulnerabbiltà oriġinali tibqa' miftuħa, l-attakkant jista' jerġa' jipprova f'kull ħin. Is-sekwenza għalhekk hija: salva, agħlaq il-kawża, neħħi l-partijiet kollha, biddel l-aċċessi, issorvelja.

## Assigura l-cronjobs b'mod preventiv

Biex backdoor ta' cronjob ma tkunx tista' tinħoloq jew tidher malajr, jgħinu tliet miżuri. L-ewwel, jista' jiġi stabbilit liema utenti jistgħu jagħmlu crontab. Jekk jeżisti l-fajl `/etc/cron.allow`, jistgħu jużaw `crontab` biss l-utenti msemmija hemm. Jekk l-applikazzjoni tiegħek ma teħtieġ ebda cronjob taħt l-utent tas-server tal-web, dan l-utent ma jappartjenix fil-lista. Iċċekkja qabel liema kompiti l-applikazzjoni tassew teħtieġ, u oħloqhom intenzjonalment taħt utent proprju.

It-tieni, tixraq sorveljanza tal-fajls. Għodda tal-verifika tal-integrità tirrapporta hekk kif fajl fid-direttorji cron jew taħt `/var/spool/cron` jinbidel. It-tielet, il-kompiti skedati jappartjenu fid-dokumentazzjoni tas-server: min jaf liema daħliet għandhom ikunu hemm jagħraf waħda barranija minnufih.

## Kif tgħin PHP SOS b'mod konkret?

- **Niċċekkjaw b'mod komplut:** Neżaminaw il-mekkaniżmi kollha għal kompiti skedati, anke timers ta' systemd, kompiti at u skedi tal-applikazzjonijiet.
- **Nikklassifikaw is-sejbiet:** Nevalwaw daħliet suspettużi mingħajr ma neżegwuhom u nsegwu traċċi oħra.
- **Intnaddfu sew:** Bit-[Tneħħija tal-malware](https://phpsos.de/mt/leistungen/malware-entfernung/) neħħu l-partijiet kollha u nagħlqu l-kawża.
- **Nagħrfu r-ritorn:** Nissettjaw sorveljanza li tirrapporta kompiti skedati ġodda jew mibdula.


## Mistoqsijiet frekwenti

**Għaliex l-attakkanti jużaw cronjobs?**  
Cronjob jibda kmandi regolarment u mingħajr ma jkun hemm bżonn ta' aktar interventi. Hekk l-attakkanti jniżżlu kodiċi malizzjuż, joħolqu mill-ġdid fajls imħassra jew jerġgħu jibdew proċessi. Hekk l-aċċess tagħhom jgħaddi minn aġġornament u ta' spiss minn tindif superfiċjali wkoll.

**crontab -l huwa biżżejjed għall-verifika?**  
Le. crontab -l juri biss il-crontab tal-utent attwali. Kompiti skedati jinsabu wkoll fil-crontabs ta' utenti oħra, f'/etc/crontab, /etc/cron.d, fil-folders cron.daily, f'timers ta' systemd u f'kompiti at.

**Kif nagħraf cronjob malizzjuż?**  
Tipiċi huma downloads mill-internet b'eżekuzzjoni diretta, kmandi b'sekwenzi kodifikati, programmi f'folders temporanji, kompiti taħt l-utent tas-server tal-web u daħliet li jaħdmu kull minuta. Karatteristika waħda hija indikazzjoni, diversi suspett serju.

**Nista' sempliċement inħassar cronjobs suspettużi?**  
L-ewwel salva, imbagħad neħħi. Id-daħla spiss turi l-oriġini, l-indirizz tat-tniżżil u partijiet oħra. Mingħajr ma jiġi ċċarat kif inħolqot, l-attakkant ta' spiss joħloqha mill-ġdid.

## Sorsi

- [BSI: Uffiċċju Federali Ġermaniż għas-Sigurtà tal-Informazzjoni](https://www.bsi.bund.de/)
- [BSI IT-Grundschutz (Ġermanja)](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [OWASP Cheat Sheet Series](https://cheatsheetseries.owasp.org/)