公開されたディレクトリを経由したPHP2Shell RCEのハンティング

概要

未確認の脅威アクターが、フィリピン政府機関から68.8 GBのデータベースバックアップを成功裏に持ち出しました。攻撃者がインターネットからアクセス可能な認証されていないPython HTTPディレクトリを実行しているステージングサーバーを放置したことで、この操作が暴露されました。サーバーから回収されたツールには、Wrqsnxと呼ばれるGodPotatoのリブランド済みペイロードとPowerShellステージャーが含まれていました。

調査

調査には、回収されたペイロードのリバースエンジニアリングと公開されたステージングサーバーのアクセスログの調査が含まれていました。研究者は攻撃者のインフラをUpCloud Ltdによって運営されているLinuxホストに追跡し、フィリピン海外雇用庁に関連付けられた証明書の一致を通じて被害者を特定しました。分析では、運営者がディスクベースの検出を回避するためにメモリ内でペイロードを実行するためのPowerShellステージャーを使用したことが示されました。

緩和策

組織は、ウェブサーバー全体でディレクトリリスティングを無効にし、ステージング環境を公開することがないようにするべきです。重要なデータベースバックアップに厳格なアクセス制御を適用し、RcloneやImpacketなどのユーティリティの不正使用を監視してください。サービスアカウントも定期的に監査し SeImpersonate の権限を削減し、GodPotatoのようなツールからのローカル権限昇格リスクを低減します。

対応

不正なステージングディレクトリやImpacketなどの既知のエクスプロイトツールが検出された場合、影響を受けたシステムを即座に隔離します。メモリフォレンジックを実行してメモリ内ステージャーを特定し、システムを不審な名前付きパイプについて検査します。サービスアカウントの活動を監査し、予期しないトークンの偽装、権限の昇格、またはSYSTEMレベルのコマンド実行を確認してください。

シミュレーション実行

• 攻撃シナリオとコマンド： 敵対者は、指定されたステージャーを取得しました。 portalload.ps1。ディスク上に大きな痕跡を残さないように、このスクリプトを使用してエンコードされたフラグメントを直接メモリに再構築することを意図しています。攻撃者はPowerShell CLIを介してスクリプトを実行します。このアクションは、SOCによる特定のファイル名の検出を引き起こすことを目的としており、現実のシナリオでは、既知の悪意のあるツールを使用しようとする試みです。

• 回帰テストスクリプト：

  # 'portalload.ps1' 検出ルールをトリガーするシミュレーションスクリプト。
  # ステージャーの存在をシミュレートするためのダミーファイルを作成します。
  New-Item -Path "$env:TEMPportalload.ps1" -ItemType "File" -Value "# Simulated Stager Content"
  
  # PowerShellを介して「悪意のある」ステージャーを実行し、検出テレメトリを生成
  Start-Process powershell.exe -ArgumentList "-File `"$env:TEMPportalload.ps1`""

• クリーンアップコマンド：

  # シミュレーション中に作成されたダミーファイルをクリーンアップ
  Remove-Item -Path "$env:TEMPportalload.ps1" -Force