Shelltrap ist unser CyberPanel-Webshell-Scanner und Exploit-Guard. Er beobachtet jeden Schreibvorgang auf dem Server in Echtzeit, prüft, was geschrieben wurde, und stellt es unter Quarantäne, wenn es bösartig ist. Ab sofort verfügbar für CyberPanel-Server mit OpenLiteSpeed: 14,90 EUR im Monat oder 149,00 EUR im Jahr pro Server, unbegrenzt viele Domains.
Wir haben Shelltrap nicht gebaut, weil es zu wenige Sicherheitsprodukte gäbe, sondern weil das Werkzeug, das diese Aufgabe auf unseren eigenen CyberPanel-Maschinen erledigt hat, eingestellt wurde – und nichts offiziell Unterstütztes an seine Stelle getreten ist.
Warum jetzt
Am 30. Juli 2025 veröffentlichte ConfigServer eine Ankündigung im eigenen Blog. In der archivierten Fassung dieser Seite heißt es:
Way to the Web Ltd and Configserver.com will be closing down permanently on 31 August 2025. The server software market has changed drastically in the more than 25 years since our company began, and we now find the business is no longer profitable so must come to an end.
Das war ein geordneter Rückzug: ein Monat Vorlauf, eine ausführliche FAQ, ein Unternehmen, das die Hosting-Branche über zwei Jahrzehnte begleitet hat. Dieselbe FAQ ist aber auch sehr deutlich, was der ConfigServer eXploit Scanner (cxs) angeht: Nach dem 31. August 2025 gibt es keine Downloads, keinen Support, keine Lizenz-IP-Änderungen und keine Aktualisierungen der cxs-Fingerprint-Datenbank mehr.
Die kostenlose Firewall csf hat die Community übernommen, sie lebt als gepflegter Fork weiter. Der kommerzielle Scanner hat dieses zweite Leben nicht bekommen. Eine cxs-Installation läuft zwar weiter, aber mit Signaturen vom Stand August 2025 und mit einer Lizenz, die dem Server nicht auf eine neue IP-Adresse folgen kann.
Das Problem, für das cxs einmal gekauft wurde, ist unverändert:
- Sucuris 2023 Hacked Website Report, die letzte Ausgabe mit Bereinigungsdaten, fand für 2023 bei 49,21 % der kompromittierten Websites mindestens eine Backdoor zum Zeitpunkt der Infektion.
- Patchstacks State of WordPress Security in 2026 zählt für 2025 11.334 neue Schwachstellen im WordPress-Ökosystem, 46 % davon bei Veröffentlichung ohne Patch, und misst eine gewichtete mediane Zeit bis zum ersten Exploit von fünf Stunden.
- MITRE ATT&CK führt das Ergebnis als T1505.003, Webshell als Persistenztechnik. Die Linux-Analytik dazu beginnt damit, dass eine nicht autorisierte Skriptdatei im Web-Verzeichnis auftaucht.
Für CyberPanel kommt eine Lücke hinzu, denn das Panel bringt keinen eigenen Malware-Scanner mit. In der Wissensdatenbank steht, Imunify360 „is available with CyberPanel v2.0.0, but before using it you need to convert your operating system to CloudLinux OS“, und die ImunifyAV-Dokumentation nennt als unterstützte Panels cPanel, Plesk und DirectAdmin – CyberPanel ist nicht dabei. ClamAV und maldet sind kostenlos, und viele setzen inoffiziell ohnehin etwas ein. Für ein Standardsystem mit Ubuntu oder AlmaLinux gibt es aber keine offiziell unterstützte Echtzeitlösung. Genau dafür ist Shelltrap geschrieben.
Wie es funktioniert
Shelltrap arbeitet unterhalb der Anwendung: Es installiert nichts in WordPress, und es ist ihm gleichgültig, ob das Sicherheits-Plugin einer Website deaktiviert oder still umbenannt wurde.
Der Kernel schaut zu
Shelltrap nutzt fanotify. Das Kernel-Handbuch beschreibt die Schnittstelle als „notification and interception of filesystem events“ und nennt als Vorzug gegenüber inotify die Fähigkeit, „monitor a whole directory tree in a race-free manner“ – eine Markierung pro Mount statt eines Watches pro Verzeichnis. Eine Datei, die nach dem Schreiben geschlossen, an ihren Platz verschoben oder ausführbar gemacht wird, wird geprüft.
Ein Root-Broker, der nichts parsen kann
fanotify verlangt CAP_SYS_ADMIN, und die Handbuchseite warnt unmissverständlich davor, auf dieser Rechteebene Dateideskriptoren weiterzureichen. Deshalb ist Shelltrap zweigeteilt. Der Root-Broker hält die fanotify-Gruppen, öffnet Dateien sicher, führt Quarantäne-Transaktionen aus und bedient die lokale API – und enthält keinerlei Parser: kein YARA, keinen ClamAV-Code, kein Archiv- oder ELF-Parsing. Der Scanner-Worker läuft als eigener Systembenutzer ohne Netzwerk, in eigenen Mount- und PID-Namespaces, begrenzt durch seccomp, rlimits und Landlock, und bekommt nichts als einen nur lesbaren Deskriptor. Der Code, der die Bytes des Angreifers anfasst, hat die wenigsten Rechte.
Vier Engines ergeben dort ein Verdikt: ClamAV über den clamd-Socket, YARA 4.5 mit Regeln, die für genau diese Engine-Version vorkompiliert sind, SHA-256-Hash-Sets samt Known-Good-Allowlist für WordPress-Core und verbreitete Plugins, dazu Heuristik – Obfuskationsmerkmale, PHP in Upload-Verzeichnissen, Handler-Tricks in .htaccess und .user.ini. Ein Heuristik-Treffer braucht mehrere unabhängige Signale, die einzeln bewertet werden, damit nachvollziehbar bleibt, warum. Verdikte sind clean, suspicious, malicious, unscanned oder degraded; eine Datei, die nicht geprüft werden konnte, erscheint nie als sauber.
Das Upload-Gate
Erkennung beim Schreiben passiert naturgemäß nach dem Schreiben. Für Web-Uploads schließt Shelltrap dieses Fenster: Ein kleines PHP-Prepend läuft vor dem Anwendungscode, tut nichts, solange die Anfrage keinen Upload enthält, reicht die temporären Deskriptoren an den Broker und wartet höchstens zwei Sekunden. Ein bösartiger Upload bekommt 403. Läuft die Prüfung in einen Timeout, geht die Anfrage durch – Fail-open als Voreinstellung, pro Domain konfigurierbar, weil ein Scanner, der den Shop eines Kunden abschaltet, der schlimmere Ausfall ist.
Policies, Quarantäne, signierte Feeds
- Policies pro Domain. Global, Account und Domain, die spezifischste Ebene gewinnt. Hash-, Signatur- und Heuristiktreffer melden oder isolieren unabhängig voneinander, Heuristik meldet standardmäßig nur – eine Woche echten Verkehr ansehen, bevor etwas eingreift.
- Quarantäne als Transaktion. Kopie über Deskriptor, Hash-Vergleich, fsync, atomares Veröffentlichen, dann Unlink des Originals nach erneuter Inode- und Hash-Prüfung. Restore stellt Eigentümer, Rechte, Zeitstempel, ACLs, xattrs und SELinux-Kontext wieder her. Jede Aktion landet in einem hash-verketteten Audit-Log.
- Signierte Feeds. Jede Signaturgeneration ist Ed25519-signiert, trägt Provenienz je Regel (Quelle, Commit, Lizenz, Autor), muss ein Korpus-Gate bestehen, geht zuerst an Canaries und rollt bei einem Quarantäne-Sturm automatisch zurück.
- Meldungen. Sofort Mail an den Administrator bei einem bösartigen Fund, Digest für Verdachtsfälle, Health- und Metrikausgabe, ein Kommandozeilenwerkzeug mit JSON-Ausgabe und ein CyberPanel-Plugin, auf das der Scanner nicht angewiesen ist.
Was wir nicht behaupten: Die fanotify-Queue kann überlaufen – „The event queue can overflow. In this case, events are lost.“ Echtzeit allein ist also keine Garantie. Shelltrap zählt Overflows, alarmiert, plant einen Rekonziliationsscan und fährt ohnehin geplante Vollscans mit I/O-Budget. In einem unprivilegierten Container fällt es auf inotify plus Crawler zurück – und sagt das auch.
Aus Bayern, verarbeitet in Deutschland
Die Panomity GmbH sitzt in Markt Schwaben östlich von München, hier entsteht Shelltrap. Die Datenschutzgeschichte dazu ist bewusst kurz: Kundendateien verlassen den Server nie. Gescannt wird lokal, ohne Cloud-Upload und ohne automatische Sample-Einsendung. Nach außen sprechen nur Signatur-Updates und Lizenzprüfung, und zwar mit Panomity-Servern in Deutschland. Nichts am Produkt hängt an einer Drittlandsübermittlung. Das hält die DSGVO-Unterlagen kurz und macht die Antwort auf die Frage, die jede Agentur früher oder später stellt, sehr einfach: nirgendwohin.
Was es kostet und wie Sie anfangen
Shelltrap kostet 14,90 EUR im Monat oder 149,00 EUR im Jahr pro Server, brutto inklusive Mehrwertsteuer. Eine Lizenz gilt für einen Server mit unbegrenzt vielen Domains. Es gibt deb- und rpm-Pakete für Ubuntu 22.04 und 24.04 sowie AlmaLinux 8, 9 und 10, das CyberPanel-Plugin wird aus einem ZIP installiert und die Lizenz mit einem Befehl aktiviert: shelltrap license activate.
Unser Rat für die erste Woche ist unspektakulär: im reinen Meldemodus (report only) laufen lassen, ansehen, was die eigenen Server tatsächlich produzieren, dann eingreifen lassen. Shelltrap bestellen oder erst die technischen Details auf shelltrap.com lesen. Sie migrieren eine ganze Serverflotte von cxs weg oder brauchen vorab den Auftragsverarbeitungsvertrag? Schreiben Sie an hallo@panomity.de.
0 Kommentare