Controllo di Compromissione CVE-2024-3400

Un semplice script bash per verificare la presenza di prove di compromissione relative a CVE-2024-3400 su firewall Palo Alto.

Progettato per fornire un rapido triage iniziale dei dispositivi potenzialmente colpiti, verificando l'esistenza degli artefatti descritti nell'analisi di Volexity e nel post del blog di deFroggy.

Uso: ./cve-2024-3400_checker.sh

Per informazioni più dettagliate sulla vulnerabilità stessa e sugli IOC che questo script controlla, consulta le rispettive pubblicazioni qui sotto:

• https://security.paloaltonetworks.com/CVE-2024-3400
• https://www.volexity.com/blog/2024/04/12/zero-day-exploitation-of-unauthenticated-remote-code-execution-vulnerability-in-globalprotect-cve-2024-3400/
• https://github.com/deFr0ggy/deFr0ggy.github.io/blob/29806acfdab0b850b8e53542116c6098f498be97/_posts/2024-04-13-Palo%20Alto%20Exploit%20Analysis%20of%20CVE-2024-3400.md#L4

Disclaimer: Man mano che gli exploit pubblici diventano disponibili, è probabile che l'ambito delle attività aumenti e che le TTP cambieranno quasi certamente. Questo script potrebbe non fornire un rilevamento completo per tutte le attività dannose ed è stato creato con le migliori intenzioni per consentire ai primi soccorritori di effettuare un triage iniziale dei dispositivi potenzialmente colpiti. Si consiglia vivamente un'ulteriore indagine facendo riferimento ai post tecnici del blog sopra indicati. Si prega di testare prima di eseguire su sistemi di produzione. Gli script forniti sono offerti così come sono, senza alcuna garanzia, esplicita o implicita. L'autore non si assume alcuna responsabilità per eventuali danni o problemi derivanti dall'uso di questi script. Utilizza questi script a tuo rischio e pericolo. Utilizzando questi script, accetti questi termini e condizioni.