Websites herunterladen, die Imunify360 nutzen

Über Imunify360

Die Betreiber der meisten Websites, die von Imunify360 geschützt werden, haben noch nie davon gehört.

Der Anbieter CloudLinux Inc. brachte Imunify360 im Jahr 2016 als einheitlichen Sicherheitsagenten für Linux-Webserver heraus, größtenteils in Python geschrieben und unter der Lizenz Proprietary verkauft. Der Agent bündelt eine Web Application Firewall, Intrusion Detection, Malware-Scans und Patch-Management in einem Produkt, das sich in cPanel, Plesk und DirectAdmin integrieren lässt. Kunde ist das Hosting-Unternehmen. Verkauft wird pro Server und nicht pro Website, und ein geschützter Server beherbergt die Websites vieler voneinander unabhängiger Mieter, die den Kauf nie getätigt haben und die Konsole nie zu sehen bekommen.

Eine Erkennung ist hier daher eine Aussage über die Infrastruktur und nicht über den Websitebetreiber. Taucht der Agent auf einer Domain auf, betrifft der nützliche Schluss den Host: welcher Hoster die Domain ausliefert, was dieser Hoster gekauft hat und welche anderen Domains hinter derselben Konfiguration liegen. Eine einzelne Zeile steht für eine Beziehung, nämlich dass diese Website auf einem Server liegt, dessen Betreiber den Anbieter CloudLinux Inc. bezahlt. Gleicht man die Datei mit den anderen Domains ab, die auf dieselbe Infrastruktur auflösen, zeichnet sich allmählich der Bestand eines Hosters ab.

Stand Oktober 2026 ist die Technologie in unseren Daten auf 4.169 Websites sichtbar. Die Datenlage zu den Versionen ist dünn: Wir unterscheiden nur 2 verschiedene Versionsangaben, wobei Version 1.21 den Großteil dessen abdeckt, was wir lesen können. Die Ursache ist struktureller Art. Ein serverseitiger Agent verrät seinen Build selten in dem, was bei einem Crawler ankommt, sodass unsere Angaben aus Challenge-Seiten und Response-Headern stammen und nicht aus einer versionierten Asset-URL. Wer eine Analyse dieser Installationen auf Patch-Ebene plant, sollte die Versionsspalte als Anhaltspunkt betrachten und nicht als Inventar.

Auch in umgekehrter Richtung beruht die Erkennung auf Schlussfolgerungen. Imunify360 wird vor allem dann sichtbar, wenn der Agent eingreift: durch eine Browser-Challenge, eine Seite für blockierte Anfragen oder einen Header, der auf dem Rückweg hinzugefügt wird. Unauffällige Installationen, die unserem Crawler nie eine Challenge vorsetzen, können unerfasst bleiben. Die Zahl ist daher eine Untergrenze und zugunsten von Hostern mit aggressiven Einstellungen verzerrt.

Die Fragen, die die Datei gut beantwortet, sind kommerzieller Natur. Welche Hosting-Marken sich auf den Anbieter CloudLinux Inc. festgelegt und welche einen konkurrierenden Stack gewählt haben, wie diese Aufteilung mit Ländern und Preisstufen zusammenhängt, ob die Sicherheitslage eines Hosters zu seinem Marketing passt und von welchen Domains ein Scraping- oder Monitoring-Projekt schon vor dem Start Challenges erwarten sollte. Eine Einzelabfrage klärt nichts davon. Eine Liste aller Domains, auf denen der Agent sichtbar ist, verknüpft mit den Signalen zu Webserver, Control Panel und Nameservern, die wir auf denselben Hosts erkennen, beantwortet all das in einem Durchgang.