mandiant/ioc-scanner-cve-2019-19781Scanner für Kompromittierungsindikatoren für CVE-2019-19781
Dieses Repository enthält ein Dienstprogramm zur Erkennung von Kompromittierungen von Citrix ADC Appliances im Zusammenhang mit CVE-2019-19781. Das Dienstprogramm und seine Ressourcen kodieren Kompromittierungsindikatoren, die während FireEye Mandiant-Untersuchungen gesammelt wurden. Um mehr zu erfahren, lesen Sie bitte den Blogbeitrag, der die Veröffentlichung dieses Tools ankündigt.
Zusammenfassend wird das Dienstprogramm:
Es wird nicht:
Durch Feedback der Community kann das Tool in seiner Erkennung gründlicher werden. Bitte eröffnen Sie ein Issue, reichen Sie einen PR ein oder kontaktieren Sie die Autoren, wenn Sie Probleme, Ideen oder Feedback haben.
Dieser Scanner kann identifizieren:
Der Indicator of Compromise (IoC)-Scanner für CVE-2019-19781 wurde gemeinsam von FireEye Mandiant und Citrix entwickelt, basierend auf Erkenntnissen aus Incident-Response-Einsätzen im Zusammenhang mit der Ausnutzung von CVE-2019-19781. Das Ziel des Scanners ist es, verfügbare Logquellen und forensische Systemartefakte zu analysieren, um Beweise für eine erfolgreiche Ausnutzung von CVE-2019-19781 zu identifizieren. Es gibt Einschränkungen bei dem, was das Tool erreichen kann, und daher sollte die Ausführung des Tools nicht als Garantie dafür angesehen werden, dass ein System frei von Kompromittierung ist. Zum Beispiel können Logdateien auf dem System mit Kompromittierungsnachweisen abgeschnitten/überschrieben worden sein, das System neu gestartet worden sein, ein Angreifer das System manipuliert haben, um Kompromittierungsnachweise zu entfernen, und/oder ein Rootkit installiert haben, das Kompromittierungsnachweise verbirgt, usw.
Die Ausgabe dieses Tools fällt in eine von drei Kategorien:
Nachweis einer Kompromittierung. Dies ist der Standard. Jeder Nachweis, der in diese Kategorie fällt, zeigt an, dass ein Gerät erfolgreich kompromittiert wurde. Dies kann alles sein, von der Ausführung von Befehlen, die Informationen preisgeben (z.B. Anzeigen der Konfigurationsdateien ns.conf oder smb.conf), über das Installieren eines Backdoors (z.B. NOTROBIN, ein Coin Miner usw.) bis hin zum Ablegen einer Perl-basierten Webshell.
Nachweis erfolgreichen Schwachstellen-Scannings (dies könnte ein autorisierter Systemadministrator oder ein unbefugter Angreifer sein). Jeder Nachweis, der in diese Kategorie fällt, zeigt an, dass das System in einem verwundbaren Zustand war (z.B. die Absicherung war noch nicht angewendet) und dass mindestens der erste Schritt zur Ausnutzung von CVE-2019-19781 erfolgreich war.
Nachweis fehlgeschlagenen Schwachstellen-Scannings. Jeder Nachweis, der in diese Kategorie fällt, zeigt an, dass Versuche, das System zu scannen oder auszunutzen, fehlgeschlagen sind.
Dieses Tool ist nicht garantiert, alle Kompromittierungsnachweise oder alle Kompromittierungsnachweise im Zusammenhang mit CVE-2019-19781 zu finden. Wenn Anzeichen einer Kompromittierung auf Systemen festgestellt werden, sollten Organisationen eine forensische Untersuchung des kompromittierten Systems durchführen, um Umfang und Ausmaß des Vorfalls zu bestimmen. Dieses Tool wird WIE BESEHEN und ohne Gewährleistung angeboten.
Sie sollten das eigenständige Bash-Skript aus dem Releases-Tab dieses Repositorys herunterladen. Das Kopieren des Quellverzeichnisses auf eine Citrix ADC Appliance ist möglich, aber nicht empfohlen.
Der IoC-Scanner kann direkt auf einer Citrix ADC Appliance ausgeführt werden.
In diesem Modus scannt das Tool Dateien, Prozesse und Ports auf bekannte Indikatoren.
Das Tool schreibt Diagnosemeldungen in den STDERR-Stream und Ergebnisse in den STDOUT-Stream.
Im typischen Gebrauch sollten Sie STDOUT zur Überprüfung in eine Datei umleiten.
Das Tool muss im Live-Modus auf einer Citrix ADC Appliance als root ausgeführt werden.
Beispiel:
$ sudo bash ./ioc-scanner-CVE-2019-19781-v1.1.sh > "/tmp/results-$(date).txt"
Das Tool ist für die Verwendung mit den folgenden Produkten ausgelegt:
Der IoC-Scanner kann auch ein eingehängtes forensisches Image untersuchen. In diesem Szenario übergeben Sie ein Befehlszeilenargument, das den Pfad zum Stammverzeichnis des Images angibt. Sie müssen nicht root sein, um im Offline-Modus auszuführen.
Beispiel:
$ bash ./ioc-scanner-CVE-2019-19781-v1.1.sh /mnt/path/to/evidence/root/
In beiden Modi extrahiert das Tool unterstützenden Code in ein temporäres Verzeichnis; dieses Verzeichnis wird bei Beendigung des Skripts gelöscht. Das Tool nimmt keine weiteren Änderungen am System vor, obwohl es zur Erzeugung von Logeinträgen führen kann.
Wie bei jeder forensischen Analyse bevorzugen Sie die Offline-Analyse eines dd-Images gegenüber der Live-Antwort.
Dies beseitigt die Wahrscheinlichkeit, dass das Tool relevante Beweise überschreibt.
Bitte lesen Sie die Häufig gestellten Fragen für weitere Details.
Wenn Sie weitere Methoden zur Identifizierung von Kompromittierungen entwickeln, ziehen Sie bitte in Betracht, zu diesem IoC-Scanner beizutragen. Wir möchten den gründlichsten und korrektesten Scanner wie möglich bereitstellen.
Das Hauptziel ist die Meldung von Kompromittierungsindikatoren mit hoher Sicherheit. Da Benutzer sich auf die Ausgabe dieses Tools verlassen können, um weitere Untersuchungen einzuleiten, ist es wichtig, dass wir sie nicht auf eine sinnlose Jagd schicken. Daher sollte Aktivität wie einfaches Scannen im Standardmodus nicht gemeldet werden. Jegliche Nachweise, dass ein Akteur Zugriff auf das System erlangt, Informationen abruft oder Inhalte erstellt hat, sollten immer gemeldet werden.
Wir stellen dieses Tool als Bash-Skript bereit, da es ein gemeinsamer Nenner auf allen Citrix ADC Appliances ist. Hier ist die Feature-Matrix für Citrix ADC-Versionen:
Obwohl wir gesehen haben, dass Malware Go verwendet, um FreeBSD/NetScaler anzugreifen, unterstützt Go FreeBSD 6.x nicht.
Wir pflegen spärliche Dateisystemabbilder, die Kompromittierungsnachweise enthalten, im Verzeichnis ./tests/. Wenn Sie diesem Tool IoCs hinzufügen, wie bekannte Pfade oder blockierte Inhalte, stellen Sie bitte Beispiele der Nachweise zum Testen bereit.
Sie können die Komponententests auf einem Linux- oder macOS-System wie folgt ausführen:
$ bash ./tests/test.sh
runnning test: access-logs
runnning test: xml-template
runnning test: crontab
runnning test: var-cron-tabs-nobody
runnning test: error-logs
runnning test: file-system
runnning test: netscalerd
runnning test: notrobin-tmp-init
runnning test: notrobin-var-nstmp-nscache
runnning test: ns-content
runnning test: chr-encoded-template
runnning test: copied-ns-conf
runnning test: curl-in-template
runnning test: perms
runnning test: var-tmp-netscaler-portal-templates
runnning test: var-vpn-bookmark
runnning test: webshell-in-scripts
runnning test: shell-history
runnning test: bash_log
runnning test: notice_log
Sobald Sie das Quellrepository ausgecheckt haben, können Sie mit dem Tool ./build.sh ein eigenständiges Skript erstellen. Dies verpackt das Hauptskript und unterstützende Ressourcen in ein einzelnes Bündel. Bei der Ausführung wird es in ein temporäres Verzeichnis extrahiert, von dort ausgeführt und dann bereinigt.
Um zu erstellen:
$ bash ./build.sh > ioc-scanner-CVE-2019-19781-rev$(git rev-parse HEAD | cut -c 1-8).sh
Für weitere Informationen von FireEye bezüglich CVE-2019-19781 und Ausnutzung in freier Wildbahn sehen Sie bitte:
Die Reaktion auf CVE-2019-19781 war eine bedeutende Anstrengung in der gesamten Sicherheitsbranche, und diese Blogs zitieren stark zusätzliche Beiträge, die für Benutzer dieses Tools wertvoll sein werden. Wir empfehlen, das verlinkte Material aus diesen Beiträgen zu lesen, um Aktivitäten in Ihrer Umgebung am besten zu verstehen. Wie immer steht das FireEye Mandiant-Team zur Verfügung, um weitere Fragen zu beantworten oder bei einer Untersuchung weiterzuhelfen. Kontaktieren Sie uns hier.
| NetScaler Version | Betriebssystem | Verfügbare Sprachen |
|---|
| 13.0 | FreeBSD 8.4 | Bash, Perl, Python |
| 12.1 | FreeBSD 8.4 | Bash, Perl, Python |
| 12.0 | FreeBSD 8.4 | Bash, Perl, Python |
| 11.1 | FreeBSD 8.4 | Bash, Perl |
| 10.5 | FreeBSD 8.4 | Bash, Perl |
| 10.1 | FreeBSD 6.3 | Bash, Perl |
| 9.3 | FreeBSD 6.3 | Bash, Perl |