pulse-meter

Pulse Meter

यह Ivanti Connect Secure उपकरण से System Snapshot को पार्स करने के लिए एक कार्य प्रगति पर है, ताकि CVE-2023-46805, CVE-2024-21887 और CVE-2025-0282 से संबंधित संभावित IOCs की पहचान की जा सके।

चेतावनी: गलत सकारात्मक परिणाम (false positives) संभव हैं, इसलिए किसी भी परिणाम को सत्यापित करने के लिए मैन्युअल रूप से जाँच करना सबसे अच्छा है।

स्नैपशॉट को डिक्रिप्ट करने के बारे में नोट

स्नैपशॉट एक हार्डकोडेड कुंजी से एन्क्रिप्ट किया गया है। दुर्भाग्य से मैं यह कुंजी यहाँ प्रकाशित नहीं कर सकता, इसलिए आपको इसे स्वयं खोजना होगा।

आपको कुंजी को 24 बाइट हेक्स स्ट्रिंग के रूप में प्रारूपित करना होगा, और इसे स्क्रिप्ट को --key फ़्लैग के साथ प्रदान करना होगा।

चलाना

पहले आपको निर्भरताएँ स्थापित करनी होंगी:

python -m venv env
source env/bin/activate
pip install -r requirements.txt

अब आपको अपने Ivanti/Pulse Connect Secure उपकरण से एक System Snapshot प्राप्त करना होगा।

आप व्यवस्थापक इंटरफ़ेस में लॉग इन करके /dana-admin/dump/dump.cgi पर जाकर ऐसा कर सकते हैं।

यहाँ से, "Take Snapshot" बटन पर क्लिक करें, इसके पूरा होने की प्रतीक्षा करें और फिर "Admin generated snapshot" फ़ाइल डाउनलोड करें।

एक बार जब आपके पास स्नैपशॉट आ जाए, तो आप स्क्रिप्ट को निम्नानुसार चला सकते हैं।

पहले, स्नैपशॉट फ़ाइल को डिक्रिप्ट करें:

> python .\pulse-meter.py decrypt .\pulsesecure-state-admin-localhost2-7-20240115-193030.encrypted --key <key>
2025-01-14 12:27:32,120 - DEBUG - Decrypted Snapshot
2025-01-14 12:27:32,372 - INFO - Decrypted snapshot file written to: .\pulsesecure-state-admin-localhost2-7-20240115-193030.decrypted

फिर पार्सर चलाएँ:

> python .\pulse-meter.py parse .\pulsesecure-state-admin-localhost2-7-20240115-193030.decrypted  
2025-01-14 12:28:49,045 - INFO - Parsing snapshot file: .\pulsesecure-state-admin-localhost2-7-20240115-193030.decrypted
2025-01-14 12:28:49,229 - CRITICAL - [Yara IOC] Rule: SPAWN_Malware_Family (Detects artifacts related to the SPAWN Malware Family), Reference: https://www.mandiant.com/resources/blog/suspected-apt-targets-ivanti-zero-day

संदर्भ

• https://www.volexity.com/blog/2024/01/10/active-exploitation-of-two-zero-day-vulnerabilities-in-ivanti-connect-secure-vpn/
• https://www.mandiant.com/resources/blog/suspected-apt-targets-ivanti-zero-day
• https://forums.ivanti.com/s/article/CVE-2023-46805-Authentication-Bypass-CVE-2024-21887-Command-Injection-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure-Gateways?language=en_US
• https://forums.ivanti.com/s/article/KB-CVE-2023-46805-Authentication-Bypass-CVE-2024-21887-Command-Injection-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure-Gateways?language=en_US
• https://attackerkb.com/topics/AdUh6by52K/cve-2023-46805/rapid7-analysis
• https://www.volexity.com/blog/2024/01/10/active-exploitation-of-two-zero-day-vulnerabilities-in-ivanti-connect-secure-vpn/