Від краю до компрометації підприємства: Багатоступеневе вторгнення в Linux через F5 і Confluence

SOC Prime Team

Стежити

Від краю до компрометації підприємства: Багатоступеневе вторгнення в Linux через F5 і Confluence

Detection stack

AIDR
Alert
ETL
Query

Звіт про загрози
Потік атаки
Виявлення
Симуляції

Резюме

Зловмисник спочатку отримав доступ через відкритий F5 BIG-IP балансувальник навантаження, потім перейшов до внутрішнього сервера Linux і пізніше скомпрометував внутрішню інстанцію Atlassian Confluence, використовуючи відому вразливість. Звідти атака включала широке виявлення, крадіжку облікових даних і запуск атак Kerberos та NTLM relay на активи домену Windows. Операція покладалася на суміш інструментів з відкритим кодом і користувацьких скриптів для сканування, латерального пересування і ексфільтрації даних.

Розслідування

Дослідники безпеки Microsoft Defender провели розслідування зламу від скомпрометованого пристрою BIG-IP до внутрішнього Linux хоста, де було знайдено користувацький інструмент для сканування, завантажений з шкідливої IP-адреси. Аналіз також зафіксував використання утиліт таких як Nmap, gowitness і Responder під час атаки. Дослідники додатково виявили крадіжку облікових даних з файлів конфігурації Confluence, після чого було здійснено relay атаки на контролер домену та інші ресурси Windows.

Пом’якшення

Організації повинні розглядати пристрої на межі мережі, що виходять в інтернет, як активи рівня 0, застосовувати суворе управління виправленнями і життєвим циклом для застарілих або непідтримуваних пристроїв та обмежувати експозицію інтерфейсів управління. Внутрішні веб-застосунки повинні бути укріплені і вчасно оновлені проти відомих уразливостей. Сильніші контролі автентифікації, включаючи відключення NTLM, де це можливо, та забезпечення підпису SMB, можуть допомогти зменшити вплив relay-атак.

Реагування

Захисники повинні сповіщати про незвичні SSH-логіни з несподіваних IP-адрес, контролювати несанкціоновані передачі файлів і виконання відомих утиліт для сканування, та блокувати підозрілі ELF-бінарні файли. Команди з безпеки також повинні змінювати потенційно скомпрометовані облікові дані, впроваджувати принцип найменших привілеїв для облікових записів служб і перевіряти цілісність налаштувань Confluence і Active Directory.

"graph TB %% Class definitions classDef action fill:#99ccff classDef technique fill:#c2e0ff classDef tool fill:#e6e6e6 classDef credential fill:#ffdd99 %% Step 1 u2013 Exploit Publicu2011Facing Application step1_exploit["Техніка – T1190 Експлуатація публічно доступного застосунку Опис: Супротивник експлуатує вразливість в сервісі, що піддається засвітленню в Інтернеті, для отримання початкового доступу."] class step1_exploit technique %% Tool u2013 Vulnerable F5 BIGu2011IP tool_f5["Інструмент – Назва: F5 BIGu2011IP балансувальник навантаження (вразливий) CVE: CVEu20112025u201153521"] class tool_f5 tool %% Step 2 u2013 Exploitation of Remote Services step2_remote["Техніка – T1210 Експлуатація віддалених сервісів Опис: Використовуйте ту ж вразливість для виконання коду на цільовій системі та переміщення в сторону."] class step2_remote technique %% Step 3 u2013 SSH Remote Services step3_ssh["Техніка – T1021.004 SSH Опис: Аутентифікація через SSH з привілейованим обліковим записом до внутрішнього Linux-хосту."] class step3_ssh technique %% Step 4 u2013 Remote Service Session Hijacking step4_hijack["Техніка – T1563.001 Захоплення сесії віддаленої служби Опис: Підтримка живої інтерактивної SSH-сесії для виконання команд."] class step4_hijack technique %% Step 5 u2013 Active Scanning (IP Blocks) step5_ipscan["Техніка – T1595.001 Сканыування IP-блоків Опис: Запуск скриптів Nmap для виявлення активних хостів і відкритих портів по внутрішніх підмережах."] class step5_ipscan technique %% Tool u2013 Nmap tool_nmap["Інструмент – Назва: Nmap Мета: Виявлення мережі і сканування портів"] class tool_nmap tool %% Step 6 u2013 Active Scanning (Vulnerability) step6_vulnscan["Техніка – T1595.002 Сканування вразливостей Опис: Використовуйте спеціальний сканер і gowitness для виявлення вразливих внутрішніх застосунків, таких як Confluence."] class step6_vulnscan technique %% Tool u2013 gowitness tool_gowitness["Інструмент – Назва: gowitness Мета: Захоплення скріншотів веб-служб для їх ідентифікації"] class tool_gowitness tool %% Step 7 u2013 System Network Configuration Discovery step7_netconfig["Техніка – T1016 Виявлення конфігурації мережі системи Опис: Збирайте деталі конфігурації мережі для картування середовища."] class step7_netconfig technique %% Step 8 u2013 File and Directory Discovery step8_filedisc["Техніка – T1083 Виявлення файлів і каталогів Опис: Перерахування файлів на скомпрометованому Linux-хості і сервері Confluence (наприклад, server.xml, confluence.cfg.xml)."] class step8_filedisc technique %% Step 9 u2013 Unsecured Credentials step9_creds["Техніка – T1552 Незахищені облікові дані Опис: Витягнення облікових даних службових облікових записів з конфігураційних файлів."] class step9_creds technique %% Credential node cred_service["Облікові дані – Зібрані облікові дані службових облікових записів"] class cred_service credential %% Step 10 u2013 Valid Accounts step10_valid["Техніка – T1078 Дійсні облікові записи Опис: Повторне використання зібраних облікових даних Confluence для автентифікації на сервісах Active Directory."] class step10_valid technique %% Step 11 u2013 Lateral Movement via Remote Services step11_lateral["Техніка – T1021 Віддалені сервіси Опис: Спроба латерального переміщення на основі NTLM за допомогою інструментів для переліку і спільного використання файлів."] class step11_lateral technique %% Tools u2013 enum4linux, netexec, smbclient tool_enum4linux["Інструмент – Назва: enum4linux Мета: Збір даних переліку Windows"] class tool_enum4linux tool tool_netexec["Інструмент – Назва: netexec Мета: Виконання команд через SMB"] class tool_netexec tool tool_smbclient["Інструмент – Назва: smbclient Мета: Доступ до SMB спільнот"] class tool_smbclient tool %% Step 12 u2013 Pass the Ticket (Kerberos/NTLM Relay) step12_passticket["Техніка – T1550.003 Передача білету Опис: Виконання relay-атак Kerberos і NTLM (наприклад, PetitPotam) проти контролерів домену."] class step12_passticket technique %% Tool u2013 PetitPotam tool_petitpotam["Інструмент – Назва: PetitPotam Мета: NTLM relay через Microsoft RPC"] class tool_petitpotam tool %% Step 13 u2013 Steal or Forge Kerberos Tickets step13_kerb["Техніка – T1558 Викрадення або підробка білетів Kerberos Опис: Отримання привілейованих білетів Kerberos для подальшого компрометації AD."] class step13_kerb technique %% Step 14 u2013 Hijack Execution Flow (File Permissions) step14_perm["Техніка – T1574.005 Викрадення потоку виконання: Слабкість дозволів на виконання інсталяційних файлів Опис: Додавання дозволів на виконання для шкідливих ELF-бінарних файлів перед виконанням."] class step14_perm technique %% Step 15 u2013 Deploy Web Shell step15_webshell["Техніка – T1505.003 Компонент серверного програмного забезпечення: Веб-шелл Опис: Розгортання веб-шеллу на сервері Confluence для забезпечення стійкості."] class step15_webshell technique %% Step 16 u2013 Application Layer Protocols (File Transfer & Web) step16_transfer["Техніка – T1071.002 Протоколи прикладного рівня: Протоколи передачі файлів & T1071.001 Веб-протоколи Опис: Передача інструментів і корисного навантаження через FTP і HTTP."] class step16_transfer technique %% Step 17 u2013 Exfiltration Over Alternative Protocol step17_exfil["Техніка – T1048 Виведення даних через альтернативний протокол Опис: Виведення даних та інструментів за допомогою нестандартних протоколів застосунків."] class step17_exfil technique %% Connections step1_exploit –>|експлуатувати| tool_f5 step1_exploit –>|веде до| step2_remote step2_remote –>|використовує| step3_ssh step3_ssh –>|підтримує| step4_hijack step4_hijack –>|вмикає| step5_ipscan step5_ipscan –>|використовує| tool_nmap step5_ipscan –>|веде до| step6_vulnscan step6_vulnscan –>|використовує| tool_gowitness step6_vulnscan –>|веде до| step7_netconfig step7_netconfig –>|веде до| step8_filedisc step8_filedisc –>|веде до| step9_creds step9_creds –>|виробляє| cred_service step9_creds –>|веде до| step10_valid step10_valid –>|використовує| cred_service step10_valid –>|вмикає| step11_lateral step11_lateral –>|використовує| tool_enum4linux step11_lateral –>|використовує| tool_netexec step11_lateral –>|використовує| tool_smbclient step11_lateral –>|веде до| step12_passticket step12_passticket –>|використовує| tool_petitpotam step12_passticket –>|веде до| step13_kerb step13_kerb –>|веде до| step14_perm step14_perm –>|веде до| step15_webshell step15_webshell –>|вмикає| step16_transfer step16_transfer –>|вмикає| step17_exfil %% Class assignments class step1_exploit,step2_remote,step3_ssh,step4_hijack,step5_ipscan,step6_vulnscan,step7_netconfig,step8_filedisc,step9_creds,step10_valid,step11_lateral,step12_passticket,step13_kerb,step14_perm,step15_webshell,step16_transfer,step17_exfil action class tool_f5,tool_nmap,tool_gowitness,tool_enum4linux,tool_netexec,tool_smbclient,tool_petitpotam tool class cred_service credential "

Напрямок атаки

Переглянути

Виконання симуляції

Передумова: Попередня перевірка телеметрії та базової лінії повинні бути пройдені.

Мотив: У цьому розділі детально описується точне застосування техніки зловмисника (TTP), розробленої для викликання правила виявлення. Команди та наратив повинні безпосередньо відображати визначені TTPs та прагнути створити точну телеметрію, очікувану в логіці виявлення. Абстрактні або нерелевантні приклади призведуть до некоректної діагностики.

Опис атаки та команди:
1. Стадія 1 – Привілейований доступ через SSH з F5 BIG-IP
  - Зловмисник отримав облікові дані для привілейованого облікового запису привілейований_обліковий_запис на пристрої F5 BIG-IP.
  - Використовуючи SSH-сервіс управління пристроєм, зловмисник відкриває сеанс на цільовому Linux-хості, вводячи змінну середовища HOSTNAME=F5_BIG-IP_device щоб задовольнити умову для SourceHostName Збіг.
2. Стадія 2 – Розвідка мережі (nmap)
  - У межах SSH-сеансу зловмисник запускає nmap проти внутрішньої підмережі, щоб відобразити живі хости і сервіси.
3. Стадія 3 – Розвідка веб-сервісу (gowitness)
  - Після ідентифікації веб-серверів зловмисник викликає gowitness щоб захопити скріншоти HTTP/HTTPS кінцевих точок.
4. Відхід від виявлення (Специфічно для правила)
  - Не використовується Python’s ftplib; тому умова виключення_ftp не спрацьовує.

Сценарій регресійного тестування:

#!/usr/bin/env bash
#
# Багатоетапна імітація вторгнення - Вмикає правило Sigma.
# Передумова: виконавчий користувач повинен мати права sudo для встановлення HOSTNAME для сесії.
#

set -euo pipefail

# -------------------------------------------------
# Стадія 1 – Імітація привілейованого входу SSH з F5
# -------------------------------------------------
export HOSTNAME="F5_BIG-IP_device"
export LOGNAME="privileged_account"
export USER="privileged_account"

echo "[*] Імітування привілейованої SSH-сесії з ${HOSTNAME} як ${USER}"

# -------------------------------------------------
# Стадія 2 – Запуск nmap (виявлення мережі)
# -------------------------------------------------
echo "[*] Виконання сканування nmap на внутрішню підмережу 10.0.0.0/24"
nmap -sn 10.0.0.0/24

# -------------------------------------------------
# Стадія 3 – Виконання gowitness (розстановка веб‑сервісу)
# -------------------------------------------------
echo "[*] Виконання gowitness проти веб-хостів, що були виявлені"
# Припустимо, що gowitness встановлено і міститься в $PATH
gowitness file -f /tmp/discovered_web_hosts.txt

echo "[+] Імітація завершена – сподіване сповіщення повинно бути згенероване."

Команди очищення:

#!/usr/bin/env bash
#
# Очищення після багатоступеневої імітації вторгнення
#

set -euo pipefail

# Видалення тимчасових файлів, створених gowitness
rm -f /tmp/discovered_web_hosts.txt

# Скидання змінних середовища, що використовувалися для імітації
unset HOSTNAME LOGNAME USER

echo "[*] Очищення завершено."

Приєднуйтесь до платформи Detection as Code від SOC Prime щоб покращити видимість загроз, найбільш актуальних для вашого бізнесу. Щоб допомогти вам розпочати та отримати негайну цінність, забронюйте зустріч зараз з експертами SOC Prime.

Приєднатися безкоштовно