vdisec/cve-2019-19871-auditguideAudit-Leitfaden für die Citrix ADC Vulnerability CVE-2019-19871. Zusammengetragen aus mehreren Quellen und Bedrohungsanalysen. Wird aktualisiert, sobald neue Methoden auftauchen.
Es gibt jetzt ein Tool von FireEye, das beim Scannen der folgenden Elemente hilft. Der Schlüssel dabei ist, dass Sie genügend Protokolle haben müssen, um bis zum 1.9.2020 zurückzugehen, um eine Chance zu haben, zu sehen, was über die Ausführung des Exploits hinaus getan wurde. Wenn es .XML-Payload-Dateien findet, müssen Sie die folgenden Informationen verwenden, um eine Entscheidung über die zu ergreifende Maßnahme zu treffen. https://www.fireeye.com/blog/products-and-services/2020/01/fireeye-and-citrix-tool-scans-for-iocs-related-to-vulnerability.html
https://github.com/citrix/ioc-scanner-CVE-2019-19781 https://github.com/fireeye/ioc-scanner-CVE-2019-19781/
Es gibt derzeit keine einfache Möglichkeit, zu beweisen, was jemand getan hat. Bei 4 öffentlichen Exploits hinterlässt jeder ein anderes Artefakt/Signatur, was für die Erkennung hilfreich ist, aber nicht 100%ig ist. Der Schlüssel ist, sich daran zu erinnern, dass dies die öffentlichen Exploits sind, die bis zum 10. privat waren, und das bedeutet auch nicht, dass es nicht noch andere da draußen gibt, die Leute nicht für ihren eigenen Gewinn teilen. Exploits sind in den meisten Fällen editierbar, wobei jemand den Namen der abgelegten Datei, den Namen des Benutzerkontos, den Namen des Prozesses, den Pfad der Abfrage und viele andere Optionen ändern kann, was bedeutet, dass die Möglichkeiten exponentiell steigen, dass jemand das System ausgenutzt haben könnte. Es gibt auch fortgeschrittene Angreifer und einfache Angreifer, einer wird nach sich selbst aufräumen und sehr clevere Wege finden, im System zu verschwinden, um der Erkennung zu entgehen.
Wenn Sie Nessus ausführen, können Sie diese .YAR-Datei unten verwenden, um einen privilegierten Scan durchzuführen, um nach den gängigen Erkennungsmethoden zu suchen. https://github.com/Neo23x0/signature-base/blob/master/yara/exploit_shitrix.yar
Tolle Links zu diesem Prüfprozess. https://nerdscaler.com/2020/01/13/citrix-adc-cve-2019-19781-exploited-what-now/amp/ http://deyda.net/index.php/en/2020/01/15/checklist-for-citrix-adc-cve-2019-19781/
Haftungsausschluss: Wie bereits erwähnt, wird dies nicht jeden Exploit erkennen, aber es kann helfen, einige Anomalien zu erkennen, wenn der Angreifer die öffentlichen Exploits nicht modifiziert und/oder nicht aufgeräumt hat. Die meisten Angreifer werden den Standard-Exploit verwenden, und dies sind einige der dokumentierten Artefakte, die zurückbleiben könnten. Diese Liste von Befehlen wurde aus vielen Quellen zusammengetragen und wird sich dynamisch ändern, wenn andere Varianten, Workarounds und neue Entwicklungen auftauchen. Wir können damit rechnen, dass sich dies ständig ändert, wenn mehr Infektionen auftreten und weitere forensische Untersuchungen mit einer größeren Stichprobe abgeschlossen werden.
Schauen Sie sich zuerst Dinge an, die Sie nicht getan haben. Wenn Sie normalerweise nicht viel auf Ihrem ADC tun, sollten diese sehr ruhig sein, und es können Einträge von Wochen, Monaten oder Jahren von Ihrem letzten Besuch vorhanden sein. Es gibt genauere Abfragen weiter unten. Verstehen Sie auch, dass dies ein Katz-und-Maus-Spiel ist, selbst in diesem Blog. Während wir offenlegen, was wir gesehen haben und wie man Angreifer findet, nutzen diese diese Informationen gegen uns, indem sie ihre Taktiken ändern, um der Erkennung zu entgehen.
