Caça de RCE com PHP2Shell em Diretórios Abertos Expostos

Resumo

Um ator de ameaça não identificado exfiltrou com sucesso 68,8 GB de backups de banco de dados de uma agência governamental das Filipinas. A operação foi exposta depois que o atacante deixou um servidor de preparação executando um diretório HTTP Python não autenticado acessível pela internet. As ferramentas recuperadas do servidor incluíam uma carga útil GodPotato rebatizada chamada Wrqsnx e um stager PowerShell.

Investigação

A investigação envolveu a engenharia reversa das cargas úteis recuperadas e a análise dos logs de acesso do servidor de preparação exposto. Os pesquisadores rastrearam a infraestrutura do atacante até um host Linux operado pela UpCloud Ltd e identificaram a vítima através da correspondência de certificados associados à Administração Filipina de Emprego no Exterior. A análise mostrou que o operador usou um stager PowerShell para executar a carga em memória e evitar a detecção baseada em disco.

Mitigação

As organizações devem desativar a listagem de diretórios em servidores web e garantir que os ambientes de preparação nunca sejam expostos publicamente. Aplique controles de acesso rigorosos a backups de banco de dados sensíveis e monitore o uso não autorizado de utilitários como Rclone ou Impacket. As contas de serviço também devem ser auditadas regularmente para SeImpersonate privilégios para reduzir o risco de escalonamento de privilégios locais a partir de ferramentas como GodPotato.

Resposta

Quando diretórios de preparação não autorizados ou ferramentas de exploração conhecidas como Impacket são detectados, isole os sistemas afetados imediatamente. Realize forense de memória para identificar stagers em memória e inspecionar sistemas em busca de pipes nomeados suspeitos. Audite a atividade de contas de serviço para personificação de tokens inesperada, escalonamento de privilégios ou execução de comandos no nível SISTEMA.

Execução de Simulação

• Narrativa do Ataque & Comandos: Um adversário obteve um stager especializado chamado portalload.ps1. Para evitar deixar uma grande marca no disco, o adversário pretende usar este script para remontar fragmentos codificados diretamente na memória. O atacante executa o script via CLI do PowerShell. Esta ação é destinada a acionar a detecção do SOC para o nome de arquivo específico, que, em um cenário real, seria uma tentativa de usar uma ferramenta maliciosa conhecida.

• Script de Teste de Regressão:

  # Script de simulação para acionar a regra de detecção 'portalload.ps1'.
  # Isso cria um arquivo fictício para simular a presença do stager.
  New-Item -Path "$env:TEMPportalload.ps1" -ItemType "File" -Value "# Conteúdo do Stager Simulado"
  
  # Execute o stager 'malicioso' via PowerShell para gerar a telemetria de detecção
  Start-Process powershell.exe -ArgumentList "-File `"$env:TEMPportalload.ps1`""

• Comandos de Limpeza:

  # Remova o arquivo fictício criado durante a simulação
  Remove-Item -Path "$env:TEMPportalload.ps1" -Force