Comprobador de compromiso CVE-2024-3400

Un script bash muy sencillo para comprobar si existen indicios de compromiso relacionados con CVE-2024-3400 en firewalls de Palo Alto.

Diseñado para proporcionar un triaje inicial rápido de los dispositivos potencialmente afectados mediante la comprobación de la existencia de los artefactos descritos en el análisis de Volexity y en la entrada del blog de deFroggy.

Uso: ./cve-2024-3400_checker.sh

Para obtener información más detallada sobre la propia vulnerabilidad y los IOC que este script comprueba, consulte las publicaciones correspondientes a continuación:

• https://security.paloaltonetworks.com/CVE-2024-3400
• https://www.volexity.com/blog/2024/04/12/zero-day-exploitation-of-unauthenticated-remote-code-execution-vulnerability-in-globalprotect-cve-2024-3400/
• https://github.com/deFr0ggy/deFr0ggy.github.io/blob/29806acfdab0b850b8e53542116c6098f498be97/_posts/2024-04-13-Palo%20Alto%20Exploit%20Analysis%20of%20CVE-2024-3400.md#L4

Descargo de responsabilidad: A medida que los exploits públicos estén disponibles, es probable que el alcance de la actividad aumente y que los TTP cambien casi con seguridad. Es posible que este script no proporcione una detección completa de toda la actividad maliciosa y se creó con las mejores intenciones para permitir que los primeros respondedores realicen un triaje inicial de los dispositivos potencialmente afectados. Se recomienda encarecidamente una investigación adicional tomando como referencia las publicaciones técnicas mencionadas anteriormente. Pruebe antes de ejecutarlo en sistemas de producción. Los scripts aquí proporcionados se ofrecen tal cual, sin garantía de ningún tipo, expresa o implícita. El autor no asume ninguna responsabilidad ni obligación por los daños o problemas derivados del uso de estos scripts. Utilice estos scripts bajo su propio riesgo. Al utilizar estos scripts, usted acepta estos términos y condiciones.