PHP2Shell RCE-Suche in offenen Verzeichnissen

Zusammenfassung

Ein nicht identifizierter Bedrohungsakteur exfiltrierte erfolgreich 68,8 GB Datenbanksicherungen von einer philippinischen Regierungsbehörde. Die Operation wurde aufgedeckt, nachdem der Angreifer einen Staging-Server hinterließ, der ein nicht authentifiziertes Python HTTP-Verzeichnis ausführte und über das Internet zugänglich war. Von dem Server wiederhergestellte Tools beinhalteten eine umbenannte GodPotato-Payload namens Wrqsnx und einen PowerShell-Stager.

Untersuchung

Die Untersuchung umfasste das Reverse-Engineering der wiederhergestellten Payloads und die Überprüfung der Zugriffsprotokolle des freigelegten Staging-Servers. Forscher verfolgten die Infrastruktur des Angreifers zu einem von UpCloud Ltd betriebenen Linux-Host und identifizierten das Opfer durch Zertifikatsabgleich, das mit der Philippine Overseas Employment Administration in Verbindung steht. Die Analyse zeigte, dass der Betreiber einen PowerShell-Stager nutzte, um die Payload im Speicher auszuführen und eine Erkennung basierend auf dem Datenträger zu umgehen.

Minderung

Organisationen sollten die Verzeichnisauflistung auf Webservern deaktivieren und sicherstellen, dass Staging-Umgebungen niemals öffentlich zugänglich sind. Strikte Zugriffskontrollen für sensible Datenbanksicherungen anwenden und die unbefugte Nutzung von Dienstprogrammen wie Rclone oder Impacket überwachen. Dienstkonten sollten ebenfalls regelmäßig auf SeImpersonate Privilegien geprüft werden, um das Risiko einer lokalen Privilegieneskalation durch Tools wie GodPotato zu reduzieren.

Reaktion

Wenn unbefugte Staging-Verzeichnisse oder bekannte Ausbeutungstools wie Impacket entdeckt werden, sollten betroffene Systeme sofort isoliert werden. Führen Sie Speicherforensik durch, um In-Memory-Stager zu identifizieren, und prüfen Sie Systeme auf verdächtige benannte Pipes. Überwachen Sie die Aktivität von Dienstkonten auf unerwartete Token-Imitationen, Privilegieneskalationen oder SYSTEM-Level Befehlsausführungen.

Simulation Ausführung

• Angriffserzählung & Befehle: Ein Gegner hat einen spezialisierten Stager namens portalload.ps1erhalten. Um einen großen Fußabdruck auf dem Datenträger zu vermeiden, plant der Gegner, dieses Skript zu verwenden, um kodierte Fragmente direkt in den Speicher zu rekonstruieren. Der Angreifer führt das Skript über die PowerShell-CLI aus. Diese Aktion soll die Erkennung des spezifischen Dateinamens durch das SOC auslösen, was in einem realen Szenario ein Versuch wäre, ein bekanntes bösartiges Werkzeug zu verwenden.

• Regressionstest-Skript:

  # Simulationsskript zum Auslösen der 'portalload.ps1'-Erkennungsregel.
  # Dies erstellt eine Dummy-Datei, um die Anwesenheit des Stagers zu simulieren.
  New-Item -Path "$env:TEMPportalload.ps1" -ItemType "File" -Value "# Simulierter Stager-Inhalt"
  
  # Führen Sie den 'bösartigen' Stager über PowerShell aus, um die Erkennungstelemetrie zu erzeugen
  Start-Process powershell.exe -ArgumentList "-File `"$env:TEMPportalload.ps1`""

• Aufräumbefehle:

  # Entfernen Sie die während der Simulation erstellte Dummy-Datei
  Remove-Item -Path "$env:TEMPportalload.ps1" -Force