citrix/ioc-scanner-cve-2019-19781Scanner di Indicatori di Compromissione per CVE-2019-19781
Questa repository contiene un'utility per rilevare compromissioni degli apparati Citrix ADC correlati a CVE-2019-19781. L'utility e le sue risorse codificano gli indicatori di compromissione raccolti durante le investigazioni FireEye Mandiant. Per saperne di più, si prega di leggere il blog che annuncia il rilascio di questo strumento.
In sintesi, l'utility:
Non:
Con il feedback della community, lo strumento potrà diventare più accurato nel suo rilevamento. Si prega di aprire una issue, inviare una PR, oppure contattare gli autori in caso di problemi, idee o feedback.
Questo scanner può identificare:
Lo scanner di Indicatori di Compromissione (IoC) per CVE-2019-19781 è stato sviluppato congiuntamente da FireEye Mandiant e Citrix sulla base delle conoscenze acquisite dagli interventi di incident response legati allo sfruttamento di CVE-2019-19781. L'obiettivo dello scanner è analizzare le fonti di log disponibili e gli artefatti forensi di sistema per identificare prove di sfruttamento riuscito di CVE-2019-19781. Ci sono limitazioni a ciò che lo strumento può ottenere, e pertanto l'esecuzione dello strumento non deve essere considerata una garanzia che un sistema sia esente da compromissione. Ad esempio, i file di log sul sistema con prove di compromissione potrebbero essere stati troncati/ruotati, il sistema potrebbe essere stato riavviato, un attaccante potrebbe aver manomesso il sistema per rimuovere le prove di compromissione, e/o aver installato una rootkit che maschera le prove di compromissione, ecc.
L'output di questo strumento rientrerà in una delle tre categorie:
Prove di compromissione. Questa è l'impostazione predefinita.
Qualsiasi prova che rientri in questa categoria indica che un dispositivo è stato compromesso con successo.
Può trattarsi di qualsiasi cosa, dall'esecuzione di comandi che rivelano informazioni (ad es. visualizzare i file di configurazione ns.conf o smb.conf),
all'installazione di una backdoor (ad es. NOTROBIN, un miner di criptovalute, ecc.),
o al rilascio di una web shell basata su Perl.
Prove di scansione di vulnerabilità riuscita (potrebbe trattarsi di un amministratore di sistema autorizzato o di un attaccante non autorizzato). Qualsiasi prova che rientri in questa categoria indica che il sistema si trovava in uno stato vulnerabile (ad es. la mitigazione non era stata applicata) e che almeno il primo passo per sfruttare CVE-2019-19781 è riuscito.
Prove di scansione di vulnerabilità fallita. Qualsiasi prova che rientri in questa categoria indica che i tentativi di scansionare o sfruttare il sistema sono falliti.
Questo strumento non garantisce di trovare tutte le prove di compromissione, né tutte le prove di compromissione correlate a CVE-2019-19781. Se sui sistemi vengono identificati indicatori di compromissione, le organizzazioni dovrebbero eseguire un esame forense del sistema compromesso per determinare l'ambito e l'estensione dell'incidente. Questo strumento è fornito COSÌ COM'È e senza garanzia.
È necessario scaricare lo script Bash autonomo dalla scheda Releases di questa repository. Copiare la directory sorgente su un apparato Citrix ADC è possibile ma non consigliato.
Lo scanner IoC può essere eseguito direttamente su un apparato Citrix ADC.
In questa modalità, lo strumento analizzerà file, processi e porte alla ricerca di indicatori noti.
Lo strumento scrive i messaggi diagnostici sul flusso STDERR e i risultati sul flusso STDOUT.
Nell'uso tipico, si dovrebbe reindirizzare STDOUT su un file per la revisione.
Lo strumento deve essere eseguito come root in modalità live su un apparato Citrix ADC.
Ad esempio:
$ sudo bash ./ioc-scanner-CVE-2019-19781-v1.1.sh > "/tmp/results-$(date).txt"
Lo strumento è progettato per essere utilizzato con i seguenti prodotti:
Lo scanner IoC può anche esaminare un'immagine forense montata. In questo scenario, passare un argomento da riga di comando che specifica il percorso della directory root dell'immagine. Non è necessario essere root per eseguire la modalità offline.
Ad esempio:
$ bash ./ioc-scanner-CVE-2019-19781-v1.1.sh /mnt/path/to/evidence/root/
In entrambe le modalità, lo strumento estrae il codice di supporto in una directory temporanea; questa directory verrà eliminata al termine dello script. Lo strumento non apporta ulteriori modifiche al sistema, sebbene possa causare la generazione di voci di log.
Come per ogni analisi forense, si preferisce l'analisi offline su un'immagine dd rispetto alla risposta live.
Ciò eliminerà la probabilità che lo strumento causi la sovrascrittura di prove rilevanti.
Si prega di consultare le Domande Frequenti per ulteriori dettagli.
Man mano che si inventano ulteriori modi per identificare una compromissione, si prega di prendere in considerazione l'idea di contribuire a questo scanner IoC. Vorremmo fornire lo scanner più accurato e corretto possibile.
L'obiettivo principale è segnalare indicatori di compromissione ad alta affidabilità. Poiché gli utenti possono fare affidamento sull'output di questo strumento per avviare ulteriori indagini, è importante non mandarli a caccia di fantasmi. Pertanto, attività come la semplice scansione non dovrebbero essere segnalate nella modalità predefinita. Qualsiasi prova che un attore abbia ottenuto accesso al sistema, recuperato informazioni o creato contenuti dovrebbe essere sempre segnalata.