Scanner d'indicateurs de compromission pour CVE-2019-19781
Ce dépôt contient un utilitaire pour détecter les compromissions des appliances Citrix ADC liées à CVE-2019-19781. L'utilitaire et ses ressources encodent des indicateurs de compromission collectés lors des enquêtes FireEye Mandiant. Pour en savoir plus, veuillez lire le blog annonçant la sortie de cet outil.
En résumé, l'utilitaire fera :
Il ne fera pas :
Avec les retours de la communauté, l'outil pourrait devenir plus complet dans sa détection. Veuillez ouvrir un ticket, soumettre une PR, ou contacter les auteurs si vous avez des problèmes, des idées ou des commentaires.
Ce scanner peut identifier :
L'analyseur d'indicateurs de compromission (IoC) pour CVE-2019-19781 a été développé conjointement par FireEye Mandiant et Citrix sur la base des connaissances acquises lors d'interventions en réponse à des incidents liés à l'exploitation de CVE-2019-19781. L'objectif du scanner est d'analyser les sources de journaux disponibles et les artefacts médico-légaux du système pour identifier les preuves d'une exploitation réussie de CVE-2019-19781. Il existe des limites à ce que l'outil pourra accomplir, et par conséquent, l'exécution de l'outil ne doit pas être considérée comme une garantie qu'un système est exempt de compromission. Par exemple, les fichiers journaux du système contenant des preuves de compromission peuvent avoir été tronqués/écrasés, le système peut avoir été redémarré, un attaquant peut avoir falsifié le système pour supprimer les preuves de compromission, et/ou installé un rootkit qui masque les preuves de compromission, etc.
La sortie de cet outil se répartira dans l'une des trois catégories :
Preuve de compromission. C'est la valeur par défaut.
Toute preuve entrant dans cette catégorie indique qu'un appareil a été compromis avec succès.
Cela peut aller de l'exécution de commandes qui divulguent des informations (par exemple, visualiser les fichiers de configuration ns.conf ou smb.conf),
à l'installation d'une porte dérobée (par exemple NOTROBIN, un mineur de cryptomonnaie, etc.),
ou au dépôt d'un shell web basé sur Perl.
Preuve de scan de vulnérabilité réussi (cela peut être un administrateur système autorisé ou un attaquant non autorisé). Toute preuve entrant dans cette catégorie indique que le système était dans un état vulnérable (par exemple, l'atténuation n'avait pas été appliquée) et qu'au moins la première étape pour exploiter CVE-2019-19781 a été réussie.
Preuve de scan de vulnérabilité échoué. Toute preuve entrant dans cette catégorie indique que les tentatives de scanner ou d'exploiter le système ont échoué.
Cet outil n'est pas garanti pour trouver toutes les preuves de compromission, ou toutes les preuves de compromission liées à CVE-2019-19781. Si des indications de compromission sont identifiées sur des systèmes, les organisations doivent effectuer un examen médico-légal du système compromis pour déterminer la portée et l'étendue de l'incident. Cet outil est fourni EN L'ÉTAT et sans garantie.
Vous devriez télécharger le script Bash autonome depuis l' onglet Releases de ce dépôt. Copier le répertoire source sur une appliance Citrix ADC est possible mais déconseillé.
Le scanner IoC peut être exécuté directement sur une appliance Citrix ADC.
Dans ce mode, l'outil analysera les fichiers, les processus et les ports à la recherche d'indicateurs connus.
L'outil écrit les messages de diagnostic sur le flux STDERR et les résultats sur le flux STDOUT.
En utilisation typique, vous devriez rediriger STDOUT vers un fichier pour examen.
L'outil doit être exécuté en tant que root en mode live sur une appliance Citrix ADC.
Par exemple :
$ sudo bash ./ioc-scanner-CVE-2019-19781-v1.1.sh > "/tmp/results-$(date).txt"
L'outil est conçu pour être utilisé avec les produits suivants :
Le scanner IoC peut également inspecter une image médico-légale montée. Dans ce scénario, passez un argument en ligne de commande spécifiant le chemin du répertoire racine de l'image. Vous n'avez pas besoin d'être root pour exécuter en mode hors ligne.
Par exemple :
$ bash ./ioc-scanner-CVE-2019-19781-v1.1.sh /mnt/path/to/evidence/root/
Dans les deux modes, l'outil extraira le code de support dans un répertoire temporaire ; ce répertoire sera supprimé à la fin du script. L'outil n'apporte pas d'autres modifications au système, bien qu'il puisse générer des entrées de journal.
Comme pour toute analyse médico-légale, privilégiez l'analyse hors ligne d'une image dd à une réponse en direct.
Cela éliminera la probabilité que l'outil entraîne l'écrasement de preuves pertinentes.
Veuillez consulter la Foire aux questions pour plus de détails.
À mesure que vous inventez d'autres moyens d'identifier une compromission, veuillez envisager de contribuer à ce scanner IoC. Nous souhaitons fournir le scanner le plus complet et correct possible.
L'objectif principal est de signaler les indicateurs de compromission de haute confiance. Parce que les utilisateurs peuvent se fier au résultat de cet outil pour lancer une enquête plus approfondie, il est important que nous ne les envoyions pas sur une fausse piste. Par conséquent, une activité telle qu'un simple scan ne doit pas être signalée en mode par défaut. Toute preuve qu'un acteur a eu accès au système, récupéré des informations ou créé du contenu doit toujours être signalée.