Полювання на PHP2Shell RCE через відкриті каталоги

Резюме

Невідомий зловмисник успішно ексфільтрував 68,8 ГБ резервних копій бази даних з агенції уряду Філіппін. Операцію було викрито після того, як зловмисник залишив запущеним сервер для підготовки, який без авторизації працював на Python HTTP, з доступом з Інтернету. Інструменти, відновлені з сервера, включали перевипущене навантаження GodPotato під назвою Wrqsnx та стагер PowerShell.

Розслідування

Розслідування включало реверс-інжиніринг відновлених навантажень і аналіз журналів доступу з викритого сервера для підготовки. Дослідники простежили інфраструктуру зловмисника до хоста Linux, яким керує UpCloud Ltd, і ідентифікували жертву через відповідність сертифікатів, пов’язаних з Адміністрацією закордонних працевлаштувань Філіппін. Аналіз показав, що оператор використовував стагер PowerShell для виконання навантаження в пам’яті та уникнення дискової фіксації.

Пом’якшення

Організації повинні вимкнути списки директорій на веб-серверах і забезпечити, щоб середовища для підготовки ніколи не були публічно викриті. Застосуйте суворий контроль доступу до резервних копій баз даних та моніторте несанкціоноване використання утиліт, таких як Rclone або Impacket. Службові облікові записи також слід регулярно перевіряти на SeImpersonate привілеї, щоб зменшити ризик локальної ескалації привілеїв від інструментів, таких як GodPotato.

Відповідь

Коли виявлені несанкціоновані режими для підготовки або відомі інструменти експлуатації, такі як Impacket, відразу ізолюйте постраждалі системи. Виконайте форензичний аналіз пам’яті для виявлення стагерів у пам’яті та перевірте системи на наявність підозрілих іменованих труб. Аудит активності службових облікових записів для неочікуваної імперсонізації токенів, ескалації привілеїв або виконання команд на рівні SYSTEM.

Симуляція виконання

• Опис атаки та команди: Зловмисник отримав спеціалізований стагер під назвою portalload.ps1. Щоб уникнути залишення великого сліду на диску, зловмисник має намір використовувати цей скрипт для збирання закодованих фрагментів безпосередньо в пам’ять. Зловмисник запускає скрипт через PowerShell CLI. Ця дія спрямована на те, щоб викликати сповіщення SOC для виявлення специфічного імені файлу, що в реальному світі було б спробою використати відомий зловмисний інструмент.

• Скрипт регресійного тестування:

  # Скрипт симуляції для виклику правила виявлення 'portalload.ps1'.
  # Це створює фіктивний файл для імітації наявності стагера.
  New-Item -Path "$env:TEMPportalload.ps1" -ItemType "File" -Value "# Simulated Stager Content"
  
  # Запуск 'шкідливого' стагера через PowerShell для створення телеметрії виявлення
  Start-Process powershell.exe -ArgumentList "-File `"$env:TEMPportalload.ps1`""

• Команди очищення:

  # Видалення фіктивного файлу, створеного під час симуляції
  Remove-Item -Path "$env:TEMPportalload.ps1" -Force