🔍 Investigation d'une attaque Zero-Day avec le SIEM Let's Defend

👉 Un guide pour détecter et analyser l'exploitation de CVE-2024-24919

🎯 Objectif de l'enquête

Ce projet a été mené pour examiner une tentative d'exploitation potentielle contre une passerelle de sécurité Check Point, en exploitant spécifiquement une vulnérabilité zero‑day – CVE-2024-24919. L'objectif était de déterminer si cette alerte était un faux positif ou une tentative de brèche légitime, d'analyser le trafic et de prendre les mesures de confinement et de réponse appropriées.

🛠️ Outils et environnement utilisés

Plateforme SIEM : Let's Defend (outil cloud de détection et d'investigation des menaces)
Laboratoire virtuel : Fourni dans Let's Defend
Hôte ciblé : CP-Spark-Gateway-01
Fonctionnalités d'analyse des logs : Logs de trafic HTTP, filtrage par point de terminaison, console de sécurité email
Renseignement sur les menaces : Sources en ligne telles que NVD et les avis de sécurité Check Point

⭐ Aperçu de l'alerte

Règle déclenchée : SOC287 - Lecture arbitraire de fichiers sur la passerelle Check Point (CVE-2024-24919)
ID d'événement : 263
Horodatage : 6 juin 2024, 15h12
IP de destination : 172.16.20.146
IP source : 203.160.68.12
Action de l'appareil : Autorisé
Requête : aCSHELL/../../../../../../../../../../etc/passwd
User-Agent : Usurpé en Mozilla Firefox sur Mac OS X

🧪 Pré‑analyse : Comprendre CVE-2024-24919

CVE-2024-24919 est une vulnérabilité zero‑day de type path traversal affectant les passerelles de sécurité Check Point. Elle permet à des attaquants distants non authentifiés de lire des fichiers arbitraires, comme /etc/passwd et /etc/shadow, en envoyant des requêtes HTTP spécialement conçues à des points de terminaison vulnérables.

🔗 Avis Check Point

Ce type de requête (vu dans nos logs) est cohérent avec cette vulnérabilité et déclenche des alertes en raison de sa tentative d'exploitation de la lecture de fichiers système.

🔎 Étape 1 : Analyser le trafic HTTP

Je me suis rendu sur la page Log Management, j'ai filtré par IP de destination 172.16.20.146 et j'ai inspecté le trafic HTTP entrant.

🔥 Principales constatations :

Horodatage	Chemin de requête	Charge utile
15:12:45	/clients/MyCRL	`aCSHELL/../../../../etc/passwd`
15:13:10	/clients/MyCRL	`aCSHELL/../../../../etc/shadow`

La charge utile tente clairement un path traversal pour lire des fichiers système critiques.
Ces fichiers sont utilisés pour stocker les identifiants utilisateur et les hash de mots de passe.
Le code HTTP 200 avec une taille de réponse : 1256 octets indique que le serveur a renvoyé les données avec succès – ce qui suggère que l'exploitation a réussi.

🚨 Étape 2 : De quel type d'attaque s'agit‑il ?

Il s'agit d'une attaque de type Path Traversal, également appelée Directory Traversal. Elle permet aux attaquants de naviguer en dehors du répertoire web prévu et d'accéder à des fichiers système protégés.

Pourquoi nous avons conclu cela :

Les requêtes contiennent des motifs répétés ../ (point‑point‑slash).
Les fichiers ciblés comme /etc/passwd et /etc/shadow sont des indicateurs standards.

🧪 Étape 3 : S'agissait‑il d'un test planifié ?

J'ai consulté la page Email Security et effectué une recherche avec les mots‑clés suivants :

172.16.20.146
CP-Spark-Gateway-01
CVE-2024-24919
penetration test

🔍 Aucun email ni documentation ne suggérait qu'il s'agissait d'un test. Cela exclut probablement une simulation ou une opération d'équipe rouge.

🌐 Étape 4 : Analyse de la direction du trafic

IP source : 203.160.68.12 → Adresse IP publique IP de destination : 172.16.20.146 → Adresse IP privée (plage RFC 1918)

🔁 Direction : Internet → Réseau de l'entreprise

Cela confirme que le trafic provient d'un attaquant externe ciblant une infrastructure interne.

🧠 Étape 5 : L'attaque a‑t‑elle réussi ?

Le log HTTP montre :

"POST /clients/MyCRL HTTP/1.1" 200 1256

HTTP 200 OK indique un succès.
Taille de réponse (1256 octets) suggère que le système a renvoyé des données.
L'attaquant a probablement accédé à /etc/passwd, validant ainsi une exploitation réussie.

🛡️ Mesures de confinement

J'ai accédé à la page Endpoint, filtré par l'IP de destination 172.16.20.146 et déclenché une action de confinement pour isoler l'hôte.

Pourquoi ?

L'hôte a été compromis.
Il pourrait être utilisé pour pivoter ou exfiltrer des données.

🧾 Étape 6 : Documenter les IoC

Pourquoi c'est important :

Les indicateurs de compromission (IoC) sont essentiels pour :

Informer les communautés de renseignement sur les menaces externes
Écrire des règles de détection futures
Renforcer la posture de sécurité

📌 IoC identifiés :

IP source : 203.160.68.12, 203.160.68.13
User‑Agent : Mozilla/5.0 (Mac OS X; rv:126.0)
Chemins de requête :
- /clients/MyCRL
- Charges utiles : ../../../../etc/passwd, ../../../../etc/shadow
Port cible : 4433 (HTTPS non standard)

Populaires

Detecting-and-Analyzing-CVE-2024-24919-Exploitation