aelshimony-cloud/openwire-cve-2023-46604-investigation# Incident-Response-Walkthrough zur Analyse der CVE-2023-46604-Ausnutzung von Apache ActiveMQ über OpenWire, einschließlich PCAP-Analyse, IOC-Identifizierung und Extraktion von Reverse-Shell-Payloads.
OpenWire-Labor Während meiner Schicht als Tier-2-Analyst im Security Operations Center (SOC) erhielt ich eine Eskalation von einem Tier-1-Analysten bezüglich eines öffentlich zugänglichen Servers, der dabei beobachtet wurde, wie er mit mehreren verdächtigen externen IP-Adressen kommunizierte. Als Reaktion darauf leitete ich das standardmäßige Incident-Response-Verfahren (IR) ein, das die Isolierung des betroffenen Servers vom Netzwerk umfasste, um laterale Bewegung und eine potenzielle Datenextraktion zu verhindern. Anschließend wurde eine Paketmitschnitt-Datei (PCAP) von der NSM-Plattform zur weiteren Untersuchung beschafft. Mein Ziel war es, den Netzwerkverkehr zu analysieren und alle Indikatoren für bösartige Aktivitäten zu identifizieren.
Nach der Analyse des Netzwerkverkehrs und der Überprüfung der mit dem Server aufgebauten Verbindungen identifizierte ich Pakete, die mit dem OpenWire-Protokoll in Zusammenhang stehen. Die weitere Untersuchung dieser Kommunikationen ergab eine verdächtige externe IP-Adresse, die an dem Angriff beteiligt war:
146.190.21.92
Bei der Untersuchung des OpenWire-Verkehrs stellte ich fest, dass es sich bei dem angegriffenen Dienst um Apache ActiveMQ handelte, einen Open-Source-Nachrichtenbroker, der die Kommunikation zwischen verteilten Anwendungen ermöglicht. Weitere Analysen ergaben, dass der Angreifer über den folgenden Port kommunizierte:
61616
Durch die Analyse des HTTP-Verkehrs und die Überprüfung von Dateien über: Export Objects → HTTP Object List identifizierte ich eine zweite externe IP-Adresse, die mit der Infrastruktur des Angreifers in Verbindung steht:
128.199.52.72
Die Analyse der OpenWire-Kommunikation bestätigte, dass der kompromittierte Dienst der folgende war: Apache ActiveMQ Dieser Dienst war das Hauptziel des Angriffs und wurde später als anfällig für Remote-Code-Ausführung eingestuft.
Angreifer hinterlassen häufig Spuren ihrer Aktivitäten auf kompromittierten Systemen. Durch die Analyse sowohl des HTTP-Verkehrs als auch der während des Einbruchs ausgeführten Befehle identifizierte ich die auf dem Server bereitgestellte Reverse-Shell-Datei:
docker
Während der Untersuchung beobachtete ich verdächtigen ausgehenden Datenverkehr vom kompromittierten Server mit folgendem User-Agent:
java/11.0.21
Der Server initiierte eine Verbindung zur verdächtigen IP-Adresse 146.190.21.92, um eine entfernte XML-Konfigurationsdatei mit folgendem Namen abzurufen:
/invoice.xml
Mithilfe von Wireshark und dem Filtern des Datenverkehrs mit: Plain text ip.addr == 146.190.21.92 identifizierte ich den relevanten Kommunikationsdatenstrom und extrahierte die schädliche Nutzlastdatei:
./invoice
Bei der weiteren Untersuchung der Nutzlast zeigte sich, dass der Angreifer eine Sicherheitslücke zur Remote-Code-Ausführung (RCE) in Apache ActiveMQ ausnutzte. Die XML-Datei enthielt bösartige Anweisungen, die die Java-Laufzeitumgebung dazu zwangen, eine bestimmte Java-Klasse zu instanziieren, die in der Lage ist, Betriebssystembefehle auszuführen. Die identifizierte Java-Klasse war:
java.lang.ProcessBuilder
Auf der Grundlage des beobachteten Angriffsverhaltens, einschließlich der Ausnutzung von Apache ActiveMQ über OpenWire-Kommunikation, des Abrufs entfernter XML-Konfigurationsdateien, der Objektinstanziierung und der Verwendung von java.lang.ProcessBuilder zur Befehlsausführung, wurde die Aktivität der folgenden Sicherheitslücke zugeordnet:
CVE-2023-46604
Diese Sicherheitslücke ermöglicht es Angreifern, Remote-Code-Ausführung (RCE) zu erreichen, indem sie unsichere Objektinstanziierungsmechanismen innerhalb von Apache ActiveMQ ausnutzen.
Indikatoren für eine Kompromittierung (IOCs)
IP-Adressen
146.190.21.92
128.199.52.72
Netzwerkport
61616
Dateien docker invoice.xml
Nutzlast invoice
Sicherheitslücke CVE-2023-46604
