Detecting-and-Analyzing-CVE-2024-24919-Exploitation

Paso a paso para detectar y analizar la explotación de CVE-2024-24919 utilizando una plataforma SIEM, incluyendo análisis de tráfico, documentación de IOC, contención y procedimientos de escalado.

⭐ Resumen de la Alerta

• Regla Activada: SOC287 - Lectura Arbitraria de Archivos en Check Point Gateway (CVE-2024-24919)
• ID de Evento: 263
• Marca de Tiempo: 6 de junio de 2024, 03:12 PM
• IP de Destino: 172.16.20.146
• IP de Origen: 203.160.68.12
• Acción del Dispositivo: Permitido
• Solicitud: aCSHELL/../../../../../../../../../../etc/passwd
• User-Agent: Suplantado como Mozilla Firefox en Mac OS X

🧪 Pre-Análisis: Entendiendo CVE-2024-24919

CVE-2024-24919 es una vulnerabilidad de día cero de recorrido de rutas (path traversal) que afecta a Check Point Security Gateways. Permite a atacantes remotos no autenticados leer archivos arbitrarios, como /etc/passwd y /etc/shadow, enviando solicitudes HTTP manipuladas a endpoints vulnerables.

🔗 Aviso de Check Point

Este tipo de solicitud (observada en nuestros registros) es consistente con esta vulnerabilidad y activa alertas debido a su intento de explotar lecturas de archivos del sistema.

🔎 Paso 1: Analizar el Tráfico HTTP

Navegué a la página de Gestión de Registros, filtré por IP de Destino 172.16.20.146 e inspeccioné el tráfico HTTP entrante.

🔥 Hallazgos Clave:

• La carga útil claramente intenta recorrido de rutas (path traversal) para leer archivos críticos del sistema.
• Estos archivos se utilizan para almacenar credenciales de usuario y hashes de contraseñas.
• El Estado HTTP 200 con Tamaño de Respuesta: 1256 bytes indica que el servidor devolvió datos correctamente — lo que sugiere que la explotación tuvo éxito.

🚨 Paso 2: ¿Qué Tipo de Ataque Es Este?

Este es un Ataque de Recorrido de Rutas (Path Traversal), también conocido como Recorrido de Directorios. Permite a los atacantes navegar fuera del directorio web previsto y acceder a archivos protegidos del sistema.

Por qué concluimos esto:

• Las solicitudes contienen patrones repetidos de ../ (punto-punto-barra).
• Archivos objetivo como /etc/passwd y /etc/shadow son indicadores estándar.

🧪 Paso 3: ¿Fue Esto una Prueba Planificada?

Revisé la Página de Seguridad de Correo Electrónico y busqué usando estas palabras clave:

• 172.16.20.146
• CP-Spark-Gateway-01
• CVE-2024-24919
• prueba de penetración

🔍 No hay correos electrónicos ni documentación que sugieran que esto fuera una prueba. Esto probablemente descarta una simulación u operación de equipo rojo.

🌐 Paso 4: Análisis de la Dirección del Tráfico

IP de Origen: 203.160.68.12 → Dirección IP Pública IP de Destino: 172.16.20.146 → Dirección IP Privada (rango RFC 1918)

🔁 Dirección: Internet → Red de la Empresa

Esto confirma que el tráfico proviene de un atacante externo que apunta a la infraestructura interna.

🧠 Paso 5: ¿Tuvo Éxito el Ataque?

El registro HTTP muestra:

• HTTP 200 OK indica éxito.
• El tamaño de respuesta (1256 bytes) sugiere que el sistema devolvió datos.
• El atacante probablemente accedió a /etc/passwd, validando una explotación exitosa.

🛡️ Pasos de Contención

Accedí a la página de Endpoints, filtré por la IP de destino 172.16.20.146 y emití una acción de contención para aislar el host.

¿Por qué?

• El host ha sido comprometido.
• Podría usarse para pivotar o exfiltrar datos.

🧾 Paso 6: Documentando los IOC

Por Qué Es Importante:

Los Indicadores de Compromiso (IOC) son cruciales para:

• Notificar a comunidades externas de inteligencia de amenazas
• Escribir futuras reglas de detección
• Fortalecer la postura de seguridad

📌 IOC Identificados:

• IP de Origen: 203.160.68.12, 203.160.68.13

• User-Agent: Mozilla/5.0 (Mac OS X; rv:126.0)

• Rutas de Solicitud:

  • /clients/MyCRL
  • Cargas útiles: ../../../../etc/passwd, ../../../../etc/shadow

• Puerto de Destino: 4433 (HTTPS no estándar)

⬆️ Paso 7: ¿Escalada a Nivel 2?

✅ Sí — Esta es una vulnerabilidad de día cero explotada con éxito en un entorno en producción, exponiendo archivos sensibles.

La escalada es esencial para:

• Forense profunda
• Validación de parches
• Coordinación con las partes interesadas legales, de cumplimiento y ejecutivas

📄 Paso 8: Análisis Final y Comentario

Cerré la alerta como un Verdadero Positivo.

📝 Breve Comentario:

"Alerta confirmada como explotación de CVE-2024-24919. La IP externa 203.160.68.12 accedió con éxito a archivos sensibles del sistema mediante recorrido de rutas. El host CP-Spark-Gateway-01 ha sido contenido. Documentación de IOC completada. Escalada al Nivel 2 para forense avanzada y verificación de parches."

🔐 Recomendaciones de Prevención

• 🧱 Aplique el parche del proveedor para CVE-2024-24919 de inmediato (Hotfix de Check Point).
• 🔒 Bloquee el acceso externo al endpoint /clients/MyCRL.
• 🧬 Implemente reglas WAF para patrones de recorrido (../, ..%2F).
• 🔍 Supervise la actividad anormal de puertos (por ejemplo, 4433).
• 🔄 Actualice y audite periódicamente las reglas del firewall y del SIEM.
• 📚 Realice capacitación interna sobre amenazas recientes de día cero.

✅ Conclusión

Esta investigación resalta la importancia crítica de la monitorización y respuesta proactiva de amenazas. Detectar y responder rápidamente a las explotaciones de día cero puede marcar la diferencia entre un incidente contenido y una brecha generalizada.