Règle Sigma : Campagne de Malware Asnarok sur Pare-feu Sophos

[post-views]
avril 29, 2020 · 3 min de lecture
Règle Sigma : Campagne de Malware Asnarok sur Pare-feu Sophos

Une mise à jour de sécurité d’urgence pour Sophos XG Firewall a été publiée ce samedi. La mise à jour corrige une vulnérabilité d’exécution de code à distance par injection SQL zero-day qui est activement exploitée dans la nature. Elle permet aux cybercriminels de compromettre les pare-feu Sophos via leur interface de gestion et de déployer le malware Asnarok. Le cheval de Troie vole la licence et le numéro de série du pare-feu, les e-mails des utilisateurs, le hachage SHA256 salé de l’administrateur et les mots de passe chiffrés. Pour protéger votre organisation de la menace, assurez-vous que l’installation automatique des correctifs d’urgence est activée sur votre pare-feu : https://community.sophos.com/kb/en-us/135415Notre équipe SOC a publié une règle Sigma basée sur les IOCs disponibles dans l’ avis de sécurité de Sophos. Vous pouvez l’utiliser pour trouver des traces du malware et déterminer si votre XG Firewall a été compromis. Vous pouvez utiliser Uncoder pour convertir la règle Sigma en contenu de détection pour la plateforme de sécurité que vous possédez. Vous pouvez également vérifier la règle avec toutes les traductions disponibles dans le Threat Detection Marketplace : https://tdm.socprime.com/tdm/info/RN0oGcnrZfoU/HYulvHEB1-hfOQirCe1I/#Lien vers Uncoder: https://uncoder.io/Guide d’utilisation d’Uncoder ici: https://socprime.com/en/blog/uncoder-io-user-guide/Sigma:

titre: Campagne de Malware Asnarok Sophos Firewall (IOC)
statut: stable
description: En avril 2020, les pare-feu Sophos ont été ciblés par un acteur utilisant une exploitation SQLi zero-day pour compromettre les pare-feu Sophos via leur interface de gestion. Le malware livré a été nommé « asnarok ».
références:
– https://news.sophos.com/en-us/2020/04/26/asnarok/
auteur: Équipe SOC Prime
logsource:
catégorie: any
détection:
mot-clé:
– ‘736da16da96222d3dfbb864376cafd58239344b536c75841805c661f220072e5’
– ‘a226c6a641291ef2916118b048d508554afe0966974c5ca241619e8a375b8c6b’
– ‘4de3258ebba1ef3638642a011020a004b4cd4dbe8cd42613e24edf37e6cf9d71’
– ‘9650563aa660ccbfd91c0efc2318cf98bfe9092b4a2abcd98c7fc44aad265fda’
– ‘8e9965c2bb0964fde7c1aa0e8b5d74158e37443d857fc227c1883aa74858e985’
– ’31e43ecd203860ba208c668a0e881a260ceb24cb1025262d42e03209aed77fe4′
– ‘/sp/sophos.dat’
– ‘.post_MI’
– ‘filedownloaderserverx.com’
– ‘filedownloaderserver.com’
– ‘updatefileservercross.com’
– ‘43.229.55.44’
– ‘38.27.99.69’
– ‘sophosfirewallupdate.com’
– ‘filedownloaderservers.com’
– ‘ragnarokfromasgard.com’
– ‘sophosenterprisecenter.com’
– ‘sophoswarehouse.com’
– ‘sophosproductupdate.com’
– ‘sophostraining.org’
condition: mot-clé
faux positifs:
– cette règle peut se déclencher sur les données IOC des flux de renseignement sur les menaces
niveau: critique

 

Cet article vous a-t-il été utile ?

Aimez-le et partagez-le avec vos collègues.
Rejoignez la plateforme Detection as Code de SOC Prime pour améliorer la visibilité des menaces les plus pertinentes pour votre entreprise. Pour vous aider à démarrer et générer une valeur immédiate, réservez dès maintenant une réunion avec les experts de SOC Prime.
Inscrivez-vous gratuitement Réserver une réunion

Articles connexes

Accéder aux fonctionnalités d’Uncoder AI via l’API
Blog, Plateforme SOC Prime — 2 min de lecture
Accéder aux fonctionnalités d’Uncoder AI via l’API
Steven Edwards
Rechercher sur la place de marché de détection des menaces d’Uncoder AI
Blog, Plateforme SOC Prime — 2 min de lecture
Rechercher sur la place de marché de détection des menaces d’Uncoder AI
Steven Edwards
Éditeur de Code de Détection Pratique pour Uncoder AI
Blog, Plateforme SOC Prime — 3 min de lecture
Éditeur de Code de Détection Pratique pour Uncoder AI
Steven Edwards