vdisec/cve-2019-19871-auditguideGuide d'audit pour la vulnérabilité Citrix ADC CVE-2019-19871. Collecté à partir de multiples sources et évaluations de menaces. Sera mis à jour à mesure que de nouvelles méthodes apparaissent.
Il existe désormais un outil de FireEye qui aidera à analyser ces éléments ci-dessous. La clé est d'avoir suffisamment de journaux pour remonter jusqu'au 09-01-2020 afin d'avoir une chance de voir ce qui a été fait au-delà de l'exploitation. S'il trouve des fichiers de charge utile .XML, vous devez utiliser les informations ci-dessous pour décider des mesures à prendre. https://www.fireeye.com/blog/products-and-services/2020/01/fireeye-and-citrix-tool-scans-for-iocs-related-to-vulnerability.html
https://github.com/citrix/ioc-scanner-CVE-2019-19781 https://github.com/fireeye/ioc-scanner-CVE-2019-19781/
Il n'existe pas actuellement de moyen simple de prouver ce que quelqu'un a fait. Avec 4 exploits publics, chacun laisse un artefact/signature différent, ce qui est utile pour la détection mais n'est pas fiable à 100 %. Il est important de se rappeler que ce sont les exploits publics qui étaient privés jusqu'au 10, et cela ne signifie pas non plus qu'il n'y en a pas d'autres dans la nature que des gens ne partagent pas pour leur propre profit. Les exploits sont modifiables dans la plupart des cas, où quelqu'un peut changer le nom du fichier qui sera déposé, le nom du compte utilisateur, le nom du processus, le chemin de la requête et bien d'autres options, ce qui signifie que les possibilités augmentent exponentiellement pour qu'un système ait été exploité. Il y a aussi des attaquants avancés et des attaquants basiques ; l'un nettoiera après lui et trouvera des moyens très astucieux de disparaître dans le système pour échapper à la détection.
Si vous utilisez Nessus, vous pouvez utiliser ce fichier .YAR ci-dessous pour effectuer un scan privilégié à la recherche des méthodes de détection courantes. https://github.com/Neo23x0/signature-base/blob/master/yara/exploit_shitrix.yar
Excellents liens à propos de ce processus d'audit. https://nerdscaler.com/2020/01/13/citrix-adc-cve-2019-19781-exploited-what-now/amp/ http://deyda.net/index.php/en/2020/01/15/checklist-for-citrix-adc-cve-2019-19781/
Avertissement : comme indiqué précédemment, cela ne détectera pas tous les exploits, mais cela peut aider à détecter certaines anomalies si l'attaquant n'a pas modifié les exploits publics et/ou n'a pas nettoyé après lui. La plupart des attaquants utiliseront l'exploit par défaut, et voici quelques-uns des artefacts documentés qui pourraient être laissés. Cette liste de commandes a été tirée de nombreuses sources et sera très dynamique à mesure que d'autres variantes, solutions de contournement et nouveaux développements apparaîtront. On peut compter sur un changement constant à mesure que d'autres infections se produisent et que des analyses forensiques plus poussées sont réalisées avec un échantillon plus large.
Examinez d'abord ce que vous n'avez pas fait. Si vous n'avez pas l'habitude de faire beaucoup de choses sur votre ADC, ceux-ci devraient être très silencieux. De plus, il peut y avoir des entrées datant de semaines, mois ou années de votre dernière connexion. Des requêtes plus précises se trouvent juste en dessous. Comprenez aussi que c'est un jeu du chat et de la souris, même dans ce blog. Alors que nous divulguons ce que nous avons vu et comment repérer les attaquants, ils utilisent ces informations contre nous en changeant leurs tactiques pour éviter la détection.
