Chasse aux RCE PHP2Shell à travers les répertoires ouverts exposés

Résumé

Un acteur menaçant non identifié a réussi à exfiltrer 68,8 Go de sauvegardes de bases de données d’une agence gouvernementale philippine. L’opération a été révélée après que l’attaquant a laissé un serveur de mise en scène exécuter un répertoire HTTP Python non authentifié accessible depuis Internet. Les outils récupérés sur le serveur comprenaient une charge utile GodPotato renommée appelée Wrqsnx et un stager PowerShell.

Enquête

L’enquête a impliqué l’ingénierie inverse des charges utiles récupérées et l’examen des journaux d’accès du serveur de mise en scène exposé. Les chercheurs ont retracé l’infrastructure de l’attaquant jusqu’à un hôte Linux exploité par UpCloud Ltd et ont identifié la victime par correspondance de certificats associés à l’Administration philippine de l’emploi à l’étranger. L’analyse a montré que l’opérateur utilisait un stager PowerShell pour exécuter la charge utile en mémoire et échapper à la détection sur disque.

Atténuation

Les organisations devraient désactiver le listing de répertoires sur les serveurs web et s’assurer que les environnements de mise en scène ne sont jamais exposés publiquement. Appliquer des contrôles d’accès stricts aux sauvegardes de bases de données sensibles et surveiller l’utilisation non autorisée d’utilitaires tels que Rclone ou Impacket. Les comptes de service doivent également être régulièrement audités pour SeImpersonate les privilèges afin de réduire le risque d’escalade de privilèges locaux à partir d’outils tels que GodPotato.

Réponse

Lorsque des répertoires de mise en scène non autorisés ou des outils d’exploitation connus tels qu’Impacket sont détectés, isolez immédiatement les systèmes touchés. Effectuer une analyse de la mémoire pour identifier les stagers en mémoire et inspecter les systèmes pour des pipes nommés suspects. Auditer l’activité du compte de service pour l’usurpation de jetons inattendue, l’élévation de privilèges ou l’exécution de commandes au niveau SYSTÈME.

Exécution de la simulation

• Narration de l’attaque et commandes : Un adversaire a obtenu un stager spécialisé nommé portalload.ps1. Pour éviter de laisser une grande empreinte sur le disque, l’adversaire a l’intention d’utiliser ce script pour réassembler des fragments codés directement en mémoire. L’attaquant exécute le script via le CLI PowerShell. Cette action vise à déclencher la détection SOC du nom de fichier spécifique, qui dans un scénario réel, serait une tentative d’utiliser un outil connu pour être malveillant.

• Script de test de régression :

  # Script de simulation pour déclencher la règle de détection 'portalload.ps1'.
  # Cela crée un fichier factice pour simuler la présence du stager.
  New-Item -Path "$env:TEMPportalload.ps1" -ItemType "File" -Value "# Contenu simulé du stager"
  
  # Exécutez le stager 'malveillant' via PowerShell pour générer la télémétrie de détection
  Start-Process powershell.exe -ArgumentList "-File `"$env:TEMPportalload.ps1`""

• Commandes de nettoyage :

  # Nettoyez le fichier factice créé lors de la simulation
  Remove-Item -Path "$env:TEMPportalload.ps1" -Force