Warnung vor kürzlichem unbefugtem Zugriff auf japanische Organisationen

Zusammenfassung

Eine Serie unautorisierter Zugriffsereignisse auf japanische Organisationen wurde nun beobachtet, was hauptsächlich zum Verlust persönlicher Informationen führte. Die Aktivitäten umfassen die Ausnutzung bekannter Software-Schwachstellen, unautorisierte API-Manipulationen, SQL-Injektionen in Metabase und die Bereitstellung von Web-Shells über WAR-Dateien. Diese Fälle scheinen auf Managementsysteme, BI-Tools und interne Anwendungen abzuzielen, die nie für die öffentliche Nutzung gedacht waren.

Untersuchung

JPCERT/CC hat mehrere Angriffsvektoren identifiziert, darunter die Ausnutzung von API-Endpunkten, NoSQL-Injektionen und die Verwendung spezifischer bösartiger IP-Adressen. Die Untersuchung zeigt, dass Angreifer nach bekannten Schwachstellen und Fehlkonfigurationen suchen, wie ungeschützte Konfigurations- oder Sicherungsdateien. Aktuelle Updates heben speziell die Web-Shells hervor, die in .war-Dateien eingebettet sind, um Shell-Befehle über Abfrageparameter auszuführen.

Minderung

Vorgeschlagene Minderungsschritte beinhalten Ratenbegrenzung auf empfindlichen API-Endpunkten, strikte Zugriffskontrollen und Sicherheitspatches für anfällige Software wie Metabase. Organisationen sollten das Prinzip der minimalen Rechte auf API-Token anwenden und die Verfügbarkeit von Diensten auf bestimmte geographische Regionen beschränken. Die Härtung von Management- und BI-Tools, sodass sie nicht dem öffentlichen Internet ausgesetzt sind, wird dringend empfohlen.

Reaktion

Nach der Erkennung sollten Organisationen umgehend kompromittierte API-Tokens widerrufen, den Zugriff von identifizierten bösartigen IPs blockieren und nach möglichen seitlichen Bewegungen suchen. Es wird empfohlen, Webserver-Logs auf ungewöhnliche GET/POST-Anfragen zu überprüfen und auf unautorisierte .war- oder .jsp-Dateien zu prüfen. Organisationen sollten auch Kommunikationspläne vorbereiten, um betroffene Kunden über potenzielle Sekundärschäden zu informieren.

Simulation Ausführung

• Angriffserzählung & Befehle: Ein Gegner führt Aufklärungs- und Schwachstellenscans (T1595.002) gegen die nach außen gerichtete API der Organisation durch. Um der Erkennung zu entgehen, verwendet der Angreifer typischerweise ein Pool von Proxies; für diese Validierung werden wir jedoch simulieren, dass der Angreifer eine der spezifischen IPs aus der Bedrohungsintelligenz-Blacklist verwendet (z.B., 20.210.128.125). Das Ziel ist es, einen Eingangsverbindungsversuch zu simulieren, der die Firewall trifft und die Regel basierend auf der Quell-IP auslöst.

• Regressionstest-Skript:

  # Dieses Skript simuliert eine Netzwerkverbindung von einer auf der Blacklist stehenden IP. 
  # Hinweis: In einer echten Simulation würde dies von einer kontrollierten 
  # externen Quelle durchgeführt. Für lokale Tests injizieren wir einen Protokolleintrag in die 
  # Protokollierungs-Pipeline, um nachzuahmen, dass die Firewall diesen Verkehr sieht.
  
  echo "$(date '+%b %d %H:%M:%S') firewall-01 filter: eingehend erlaubt tcp 20.210.128.125 44332 -> 192.168.1.50 443 tcp dport=443 spt=44332 state=NEW" >> /var/log/firewall.log
  
  echo "Simulation: Protokolleintrag für auf der Blacklist stehende IP 20.210.128.125 injiziert"

• Bereinigungsbefehle:

  # Entfernen Sie den simulierten Protokolleintrag, um den Basiszustand wiederherzustellen
  sed -i '/20.210.128.125/d' /var/log/firewall.log
  echo "Bereinigung: Simulierter Protokolleintrag entfernt."