Do dispositivo de borda à comprometimento empresarial: Intrusão Linux em múltiplos estágios via F5 e Confluence

SOC Prime Team

Seguir

Do dispositivo de borda à comprometimento empresarial: Intrusão Linux em múltiplos estágios via F5 e Confluence

Detection stack

AIDR
Alert
ETL
Query

Relatório de Ameaça
Fluxo de Ataque
Detecções
Simulações

Resumo

Um agente de ameaça primeiro obteve acesso através de um balanceador de carga F5 BIG-IP exposto, depois se moveu para um servidor interno Linux e posteriormente comprometeu uma instância interna do Atlassian Confluence explorando uma vulnerabilidade conhecida. A partir daí, o atacante conduziu uma descoberta ampla, roubou credenciais e lançou ataques de retransmissão Kerberos e NTLM contra ativos de domínio Windows. A operação dependia de uma mistura de ferramentas de código aberto e scripts personalizados para varredura, movimento lateral e exfiltração de dados.

Investigação

A Microsoft Defender Security Research rastreou a intrusão desde o dispositivo BIG-IP comprometido até o host interno Linux, onde os investigadores encontraram uma ferramenta de varredura personalizada baixada de um endereço IP malicioso. A análise também documentou o uso de utilitários como Nmap, gowitness e Responder durante o ataque. Pesquisadores descobriram ainda o roubo de credenciais dos arquivos de configuração do Confluence, seguido por ataques de retransmissão direcionados ao controlador de domínio e outros recursos do Windows.

Mitigação

As organizações devem tratar os aparelhos de borda voltados para a internet como ativos de Tier-0, aplicar um rigoroso gerenciamento de patches e de ciclo de vida para dispositivos antigos ou sem suporte, e limitar a exposição de interfaces de gerenciamento. Aplicações web internas devem ser reforçadas e atualizadas prontamente contra vulnerabilidades conhecidas. Controles de autenticação mais fortes, incluindo a desativação de NTLM sempre que possível e a aplicação de assinatura SMB, podem ajudar a reduzir o impacto dos ataques baseados em retransmissão.

Resposta

Defensores devem alertar sobre logins SSH incomuns de endereços IP inesperados, monitorar transferências de arquivos não autorizadas e a execução de utilitários de varredura conhecidos, e bloquear binários ELF suspeitos. As equipes de segurança também devem rodar credenciais potencialmente expostas, aplicar o princípio do menor privilégio para contas de serviço e verificar a integridade das configurações do Confluence e do Active Directory.

"graph TB %% Class definitions classDef action fill:#99ccff classDef technique fill:#c2e0ff classDef tool fill:#e6e6e6 classDef credential fill:#ffdd99 %% Step 1 u2013 Exploit Publicu2011Facing Application step1_exploit["Technique – T1190 Exploit Publicu2011Facing Application Description: Adversário explora uma vulnerabilidade em um serviço exposto à Internet para obter acesso inicial."] class step1_exploit technique %% Tool u2013 Vulnerable F5 BIGu2011IP tool_f5["Tool – Name: Balanceador de carga F5 BIGu2011IP (vulnerável) CVE: CVEu20112025u201153521"] class tool_f5 tool %% Step 2 u2013 Exploitation of Remote Services step2_remote["Technique – T1210 Exploitation of Remote Services Description: Use a mesma vulnerabilidade para executar código no sistema alvo e mover lateralmente."] class step2_remote technique %% Step 3 u2013 SSH Remote Services step3_ssh["Technique – T1021.004 SSH Description: Autenticar via SSH com uma conta privilegiada para um host interno Linux."] class step3_ssh technique %% Step 4 u2013 Remote Service Session Hijacking step4_hijack["Technique – T1563.001 Remote Service Session Hijacking Description: Manter uma sessão SSH interativa ao vivo para execução de comandos."] class step4_hijack technique %% Step 5 u2013 Active Scanning (IP Blocks) step5_ipscan["Technique – T1595.001 Scanning IP Blocks Description: Executar scripts Nmap para descobrir hosts ativos e portas abertas em sub-redes internas."] class step5_ipscan technique %% Tool u2013 Nmap tool_nmap["Tool – Name: Nmap Purpose: Descoberta de rede e varredura de portas"] class tool_nmap tool %% Step 6 u2013 Active Scanning (Vulnerability) step6_vulnscan["Technique – T1595.002 Vulnerability Scanning Description: Usar scanner personalizado e gowitness para localizar aplicações internas vulneráveis, como Confluence."] class step6_vulnscan technique %% Tool u2013 gowitness tool_gowitness["Tool – Name: gowitness Purpose: Capturar capturas de tela de serviços web para enumeração"] class tool_gowitness tool %% Step 7 u2013 System Network Configuration Discovery step7_netconfig["Technique – T1016 System Network Configuration Discovery Description: Coletar detalhes de configuração de rede para mapear o ambiente."] class step7_netconfig technique %% Step 8 u2013 File and Directory Discovery step8_filedisc["Technique – T1083 File and Directory Discovery Description: Enumerar arquivos no host Linux comprometido e no servidor Confluence (por exemplo, server.xml, confluence.cfg.xml)."] class step8_filedisc technique %% Step 9 u2013 Unsecured Credentials step9_creds["Technique – T1552 Unsecured Credentials Description: Extrair credenciais de conta de serviço dos arquivos de configuração."] class step9_creds technique %% Credential node cred_service["Credential – Credenciais de conta de serviço coletadas"] class cred_service credential %% Step 10 u2013 Valid Accounts step10_valid["Technique – T1078 Valid Accounts Description: Reu2011utilizar credenciais coletadas do Confluence para autenticação em serviços do Active Directory."] class step10_valid technique %% Step 11 u2013 Lateral Movement via Remote Services step11_lateral["Technique – T1021 Remote Services Description: Tentar movimento lateral baseado em NTLM utilizando ferramentas de enumeração e compartilhamento de arquivos."] class step11_lateral technique %% Tools u2013 enum4linux, netexec, smbclient tool_enum4linux["Tool – Name: enum4linux Purpose: Coletar dados de enumeração do Windows"] class tool_enum4linux tool tool_netexec["Tool – Name: netexec Purpose: Executar comandos sobre SMB"] class tool_netexec tool tool_smbclient["Tool – Name: smbclient Purpose: Acessar compartilhamentos SMB"] class tool_smbclient tool %% Step 12 u2013 Pass the Ticket (Kerberos/NTLM Relay) step12_passticket["Technique – T1550.003 Pass the Ticket Description: Realizar ataques de retransmissão Kerberos e NTLM (ex., PetitPotam) contra controladores de domínio."] class step12_passticket technique %% Tool u2013 PetitPotam tool_petitpotam["Tool – Name: PetitPotam Purpose: Retransmissão NTLM via Microsoft RPC"] class tool_petitpotam tool %% Step 13 u2013 Steal or Forge Kerberos Tickets step13_kerb["Technique – T1558 Steal or Forge Kerberos Tickets Description: Obter tickets Kerberos privilegiados para comprometer ainda mais o AD."] class step13_kerb technique %% Step 14 u2013 Hijack Execution Flow (File Permissions) step14_perm["Technique – T1574.005 Hijack Execution Flow: Executable Installer File Permissions Weakness Description: Adicionar permissões executáveis a binários ELF maliciosos antes da execução."] class step14_perm technique %% Step 15 u2013 Deploy Web Shell step15_webshell["Technique – T1505.003 Server Software Component: Web Shell Description: Implantar uma web shell no servidor Confluence para persistência."] class step15_webshell technique %% Step 16 u2013 Application Layer Protocols (File Transfer & Web) step16_transfer["Technique – T1071.002 Application Layer Protocol: File Transfer Protocols & T1071.001 Web Protocols Description: Transferir ferramentas e payloads via FTP e HTTP."] class step16_transfer technique %% Step 17 u2013 Exfiltration Over Alternative Protocol step17_exfil["Technique – T1048 Exfiltration Over Alternative Protocol Description: Exfiltrar dados e ferramentas usando protocolos de aplicação não padrão."] class step17_exfil technique %% Connections step1_exploit –>|exploits| tool_f5 step1_exploit –>|leads_to| step2_remote step2_remote –>|uses| step3_ssh step3_ssh –>|maintains| step4_hijack step4_hijack –>|enables| step5_ipscan step5_ipscan –>|uses| tool_nmap step5_ipscan –>|leads_to| step6_vulnscan step6_vulnscan –>|uses| tool_gowitness step6_vulnscan –>|leads_to| step7_netconfig step7_netconfig –>|leads_to| step8_filedisc step8_filedisc –>|leads_to| step9_creds step9_creds –>|produces| cred_service step9_creds –>|leads_to| step10_valid step10_valid –>|uses| cred_service step10_valid –>|enables| step11_lateral step11_lateral –>|uses| tool_enum4linux step11_lateral –>|uses| tool_netexec step11_lateral –>|uses| tool_smbclient step11_lateral –>|leads_to| step12_passticket step12_passticket –>|uses| tool_petitpotam step12_passticket –>|leads_to| step13_kerb step13_kerb –>|leads_to| step14_perm step14_perm –>|leads_to| step15_webshell step15_webshell –>|enables| step16_transfer step16_transfer –>|enables| step17_exfil %% Class assignments class step1_exploit,step2_remote,step3_ssh,step4_hijack,step5_ipscan,step6_vulnscan,step7_netconfig,step8_filedisc,step9_creds,step10_valid,step11_lateral,step12_passticket,step13_kerb,step14_perm,step15_webshell,step16_transfer,step17_exfil action class tool_f5,tool_nmap,tool_gowitness,tool_enum4linux,tool_netexec,tool_smbclient,tool_petitpotam tool class cred_service credential "

Fluxo de Ataque

Ver

Execução da Simulação

Pré-requisito: O Teste de Pré-embarque de Telemetria e Base deve ter sido aprovado.

Racional: Esta seção detalha a execução precisa da técnica do adversário (TTP) projetada para acionar a regra de detecção. Os comandos e o enredo DEVEM refletir diretamente os TTPs identificados e visam gerar a telemetria exata esperada pela lógica de detecção. Exemplos abstratos ou não relacionados levarão a diagnósticos incorretos.

Narrativa do Ataque & Comandos:
1. Estágio 1 – Acesso SSH privilegiado do F5 BIG‑IP
  - Um adversário obteve credenciais para a conta privilegiada conta_privilegiada em um dispositivo F5 BIG‑IP.
  - Usando o serviço SSH de gerenciamento do dispositivo, o atacante abre uma sessão para o host Linux alvo, injetando a variável de ambiente HOSTNAME=F5_BIG-IP_device para satisfazer a correspondência da regra SourceHostName .
2. Estágio 2 – Reconhecimento de Rede (nmap)
  - Dentro da sessão SSH, o atacante executa nmap contra a sub-rede interna para mapear hosts e serviços ativos.
3. Estágio 3 – Reconhecimento de Serviço Web (gowitness)
  - Após identificar servidores web, o atacante invoca gowitness para capturar capturas de tela de endpoints HTTP/HTTPS.
4. Evasão de Detecção (Específico da Regra)
  - Não usar o ftplibdo Python; assim a cláusula exclusion_ftp não é ativada.

Script de Teste de Regressão:

#!/usr/bin/env bash
#
# Simulação de Intrusão Multi-estágio – aciona a regra Sigma.
# Pré-requisito: o usuário executante deve ter direitos sudo para definir HOSTNAME para a sessão.
#

set -euo pipefail

# -------------------------------------------------
# Estágio 1 – Simular login SSH privilegiado do F5
# -------------------------------------------------
export HOSTNAME="F5_BIG-IP_device"
export LOGNAME="privileged_account"
export USER="privileged_account"

echo "[*] Simulando sessão SSH privilegiada de ${HOSTNAME} como ${USER}"

# -------------------------------------------------
# Estágio 2 – Executar nmap (descoberta de rede)
# -------------------------------------------------
echo "[*] Executando varredura nmap na sub-rede interna 10.0.0.0/24"
nmap -sn 10.0.0.0/24

# -------------------------------------------------
# Estágio 3 – Executar gowitness (enumeração de serviço web)
# -------------------------------------------------
echo "[*] Executando gowitness contra hosts web descobertos"
# Assume que gowitness está instalado e no $PATH
gowitness file -f /tmp/discovered_web_hosts.txt

echo "[+] Simulação completa – o alerta esperado deve ser gerado."

Comandos de Limpeza:

#!/usr/bin/env bash
#
# Limpeza para a simulação de intrusão multi-estágio
#

set -euo pipefail

# Remover arquivos temporários criados pelo gowitness
rm -f /tmp/discovered_web_hosts.txt

# Desconfigurar variáveis de ambiente usadas na simulação
unset HOSTNAME LOGNAME USER

echo "[*] Limpeza completa."

Junte-se à plataforma Detection as Code da SOC Prime para melhorar a visibilidade das ameaças mais relevantes para o seu negócio. Para ajudá-lo a começar e gerar valor imediato, agende uma reunião agora com os especialistas da SOC Prime.

Cadastre-se Gratuitamente