Caza de RCE PHP2Shell en Directorios Abiertos Expuestos

Resumen

Un actor de amenaza no identificado exfiltró con éxito 68.8 GB de copias de seguridad de bases de datos de una agencia gubernamental de Filipinas. La operación fue expuesta después de que el atacante dejara un servidor de preparación ejecutando un directorio HTTP de Python sin autenticación accesible desde internet. Las herramientas recuperadas del servidor incluían una carga útil renombrada de GodPotato llamada Wrqsnx y un preparador de PowerShell.

Investigación

La investigación involucró la ingeniería inversa de las cargas útiles recuperadas y el examen de los registros de acceso del servidor de preparación expuesto. Los investigadores rastrearon la infraestructura del atacante hasta un host Linux operado por UpCloud Ltd e identificaron a la víctima mediante el emparejamiento de certificados asociados con la Administración de Empleo en el Extranjero de Filipinas. El análisis mostró que el operador utilizó un preparador de PowerShell para ejecutar la carga útil en memoria y evadir la detección basada en disco.

Mitigación

Las organizaciones deben deshabilitar la lista de directorios en los servidores web y asegurar que los entornos de preparación nunca estén expuestos públicamente. Aplique controles de acceso estrictos a las copias de seguridad sensibles de bases de datos y monitoree el uso no autorizado de utilerías como Rclone o Impacket. Las cuentas de servicio también deben ser auditadas regularmente para SeImpersonate privilegios para reducir el riesgo de escalada de privilegios locales de herramientas como GodPotato.

Respuesta

Cuando se detectan directorios de preparación no autorizados o herramientas conocidas de explotación como Impacket, aísle los sistemas afectados de inmediato. Realice un análisis forense de memoria para identificar preparadores en memoria e inspeccione sistemas en busca de tuberías nombradas sospechosas. Audite la actividad de la cuenta de servicio para detectar suplantación de tokens inesperada, escalada de privilegios o ejecución de comandos a nivel de SYSTEM.

Ejecución de Simulación

• Narrativa del Ataque y Comandos: Un adversario ha obtenido un preparador especializado llamado portalload.ps1. Para evitar dejar una gran huella en el disco, el adversario planea usar este script para reensamblar fragmentos codificados directamente en memoria. El atacante ejecuta el script a través de la CLI de PowerShell. Esta acción está destinada a activar la detección del SOC del nombre de archivo específico, lo cual en un escenario real sería un intento de utilizar una herramienta maliciosa conocida.

• Script de Prueba de Regresión:

  # Script de simulación para activar la regla de detección 'portalload.ps1'.
  # Esto crea un archivo simulado para simular la presencia del preparador.
  New-Item -Path "$env:TEMPportalload.ps1" -ItemType "File" -Value "# Contenido del Preparador Simulado"
  
  # Ejecutar el preparador 'malicioso' vía PowerShell para generar la telemetría de detección
  Start-Process powershell.exe -ArgumentList "-File `"$env:TEMPportalload.ps1`""

• Comandos de Limpieza:

  # Limpiar el archivo simulado creado durante la simulación
  Remove-Item -Path "$env:TEMPportalload.ps1" -Force