cyberbibs/event-id-263-arbitrary-file-read-on-checkpoint-security-gateway-cve-2024-24919-Passo-passo per la risposta agli incidenti SOC per la lettura arbitraria di file CVE-2024-24919 sui gateway Check Point, che copre rilevamento, analisi, contenimento e bonifica con IOCs.
CVE-2024-24919 è una vulnerabilità zero-day critica nei Check Point Security Gateway che consente ad attaccanti remoti non autenticati di leggere file arbitrari dai sistemi interessati. Scoperta a maggio 2024 e attivamente sfruttata in natura, la falla colpisce i dispositivi con Remote Access VPN o Mobile Access Blade abilitati. Gli attaccanti possono sfruttare questa vulnerabilità per accedere a file sensibili come hash delle password e chiavi SSH, portando potenzialmente al completo compromesso del sistema. A causa della sua gravità e dello stato di sfruttamento, sono fortemente consigliate l'applicazione immediata di patch e misure di mitigazione.
Per indagare e bonificare l'alert, ho seguito i seguenti passaggi:
Questi passaggi sono spiegati in dettaglio di seguito con le immagini.
La coda dei ticket del Security Operations Center (SOC) è un componente critico nella gestione e nella risposta agli incidenti di cybersecurity. Le ragioni sono: tracciamento e gestione degli incidenti, definizione delle priorità e triage, responsabilità, reporting, analisi delle tendenze, conformità e prontezza agli audit.
Ogni ticket nella coda è tipicamente assegnato a un analista o a un team specifico, garantendo una chiara responsabilità per la risoluzione dell'incidente. Questo favorisce un approccio strutturato e organizzato alla gestione degli incidenti. Ho preso in carico l'alert con EventID: 263
Dopo aver preso in carico l'alert, questo viene automaticamente inviato al canale di indagine, dove posso avviare un caso per analizzare ulteriormente e rispondere all'incidente di sicurezza. Ho creato un caso per l'alert e ho potuto visualizzare i dettagli dell'incidente.
In base alle informazioni fornite dall'alert, risulta che sia stato rilevato un sospetto attacco web su un server denominato “CP-Spark-Gateway-01” con indirizzo IP 172.16.20.146. L'alert è attivato dalla regola SOC287 per la lettura arbitraria di file su Checkpoint Security Gateway [CVE-2024–24919] e l'azione del dispositivo è stata consentita.
Per comprendere meglio questo alert, ho effettuato attività di Open-Source Intelligence (OSINT) riguardo al CVE-2024–24919 segnalato e alle informazioni importanti relative al CVE.
Successivamente, ho effettuato threat intelligence utilizzando la piattaforma di threat intelligence fornita da LetsDefend, che fornisce un database completo dedicato alla catalogazione di informazioni utilizzate in modo dannoso, come indirizzi IP, domini e altri indicatori di compromissione, utilizzando l'indirizzo IP sorgente 203.160.68.12.
Inoltre, ho utilizzato VirusTotal per la threat intelligence sullo stesso indirizzo IP e ho osservato che il malware è stato segnalato per attività dannose da 4 vendor di sicurezza e che la geolocalizzazione dell'IP è Hong Kong.
Questo conferma che il traffico proveniente dall'IP 203.160.68.12 è dannoso. Da qui la necessità di proseguire l'indagine analizzando i log per vedere quanti host nella mia rete hanno avuto comunicazioni con questo IP dannoso.
Ho iniziato la mia analisi esaminando i log di accesso, concentrandomi su indirizzi IP, user-agent, percorsi, codici di stato HTTP e timestamp per identificare qualsiasi attività sospetta o dannosa.
Prima di esaminare il traffico HTTP, ho analizzato i payload utilizzati per sfruttare la vulnerabilità in questione. Ho trovato questo POC (Proof of Concept) pubblicamente disponibile usato per [CVE-2024–24919] in questo repository GitHub https://github.com/seed1337/CVE-2024-24919-POC/blob/main/exploit.py
Successivamente, sono passato alla pagina di gestione dei log e ho filtrato i log per l'indirizzo IP sorgente dannoso 203.160.68.12 per vedere quanti host sono stati in contatto con esso. Dalla ricerca nella rete, ho scoperto che solo l'host denominato “CP-Spark-Gateway-01” con indirizzo IP 172.16.20.146 è stato in contatto con l'IP dannoso.
Le informazioni di log riportate di seguito mostrano che l'indirizzo IP dannoso 172.16.20.146 ha utilizzato il metodo POST per inviare il payload dannoso aCSHELL/../../../../../../../../../../etc/shadow — che tenta di leggere il file sensibile /etc/shadow tramite directory traversal sull'host “CP-Spark-Gateway-01” con indirizzo IP 172.16.20.146 il 06/giugno/2024.
Il file /etc/shadow è un file critico nei sistemi operativi basati su Unix/Linux che memorizza le password hashate e i dettagli di scadenza degli account utente. Posso quindi concludere che l'attaccante sta cercando di rubare le credenziali degli utenti e che la richiesta è stata accettata con codice di stato 200, come si nota nel log precedente.
Questo conferma ulteriormente che l'attacco è dannoso.
Il contenimento svolge un ruolo fondamentale nella cybersecurity, limitando l'impatto degli incidenti di sicurezza, proteggendo dati e operazioni, facilitando una risposta efficace agli incidenti, preservando le prove per l'analisi forense e garantendo la conformità ai requisiti legali e normativi.
Poiché ho rilevato che il dispositivo è compromesso, ho proceduto a isolare il dispositivo “CP-Spark-Gateway-01” con indirizzo IP 172.16.20.146 per prevenire ulteriori danni.
La bonifica è una componente fondamentale di una solida strategia di cybersecurity. Comporta la correzione delle vulnerabilità e la gestione dei problemi di sicurezza per prevenire lo sfruttamento, proteggere i dati, mantenere le operazioni e rispettare le normative, contribuendo in definitiva a un'organizzazione più sicura e resiliente. Per bonificare e prevenire future ricorrenze, dovrebbero essere adottati i seguenti passaggi:
Dopo aver completato l'analisi, ho documentato i miei risultati nella sezione “Analyst Note”, riportando artefatti e IOC.
Dopo aver concluso la mia indagine, ho stabilito che l'alert è un vero positivo. Ho redatto una nota di chiusura che spiega la causa dell'alert, i passaggi che ho seguito per analizzare l'alert, l'esito delle analisi, le misure adottate per bonificare l'alert e ho chiuso con successo l'alert.
