Caccia a PHP2Shell RCE tra Directory Aperte Esposte

Sintesi

Un attore di minaccia non identificato ha esfiltrato con successo 68,8 GB di backup di database da un’agenzia governativa filippina. L’operazione è stata esposta dopo che l’attaccante ha lasciato un server di staging che eseguiva una directory HTTP Python non autenticata accessibile da internet. Gli strumenti recuperati dal server includevano un payload GodPotato ribattezzato Wrqsnx e uno stager PowerShell.

Indagine

L’indagine ha comportato il reverse-engineering dei payload recuperati e l’esame dei log di accesso dal server di staging esposto. I ricercatori hanno tracciato l’infrastruttura dell’attaccante a un host Linux operato da UpCloud Ltd e identificato la vittima tramite il matching dei certificati associato all’Amministrazione per l’Impiego d’Oltremare delle Filippine. L’analisi ha mostrato che l’operatore ha utilizzato uno stager PowerShell per eseguire il payload in memoria ed eludere il rilevamento basato su disco.

Mitigazione

Le organizzazioni dovrebbero disabilitare l’elenco delle directory sui server web e assicurarsi che gli ambienti di staging non siano mai esposti pubblicamente. Applicare rigorosi controlli di accesso ai backup di database sensibili e monitorare l’uso non autorizzato di utilità come Rclone o Impacket. Gli account di servizio dovrebbero essere regolarmente controllati per SeImpersonate privilegi per ridurre il rischio di escalation di privilegi locali da strumenti come GodPotato.

Risposta

Quando vengono rilevate directory di staging non autorizzate o strumenti di sfruttamento noti come Impacket, isolare immediatamente i sistemi interessati. Eseguire la forensica della memoria per identificare stager in memoria e ispezionare i sistemi per pipe nominate sospette. Controllare l’attività degli account di servizio per impersonificazione di token imprevisti, escalation di privilegi o esecuzione di comandi a livello di SISTEMA.

Esecuzione di Simulazione

• Narrativa d’Attacco & Comandi: Un avversario ha ottenuto uno stager specializzato chiamato portalload.ps1. Per evitare di lasciare un’impronta significativa sul disco, l’avversario intende utilizzare questo script per riassemblare frammenti codificati direttamente in memoria. L’attaccante esegue lo script tramite la CLI di PowerShell. Questa azione è destinata a innescare il rilevamento SOC del nome file specifico, che in uno scenario reale, sarebbe un tentativo di utilizzare uno strumento noto come malevolo.

• Script di Test di Regressione:

  # Script di simulazione per attivare la regola di rilevamento 'portalload.ps1'.
  # Questo crea un file fittizio per simulare la presenza dello stager.
  New-Item -Path "$env:TEMPportalload.ps1" -ItemType "File" -Value "# Contenuto Simulato dello Stager"
  
  # Esegui lo stager 'malizioso' tramite PowerShell per generare la telemetria di rilevamento
  Start-Process powershell.exe -ArgumentList "-File `"$env:TEMPportalload.ps1`""

• Comandi di Pulizia:

  # Elimina il file fittizio creato durante la simulazione
  Remove-Item -Path "$env:TEMPportalload.ps1" -Force