Rilevamento CVE-2025-32433

Autore: te0rwx
Creazione: 2025-08-27 (Agg. 2026-08-16)

Descrizione

Una regola YARA personalizzata per il rilevamento di artefatti noti associati a CVE-2025-32433, una vulnerabilità di esecuzione remota di codice (RCE) pre-autenticazione SSH in Erlang/OTP.

La regola è stata sviluppata e validata contro artefatti pubblici di proof-of-concept (PoC) e catture di rete generate in laboratorio controllato.

Copertura del rilevamento

Questa regola rileva gli indicatori noti associati a CVE-2025-32433, tra cui:

• Artefatti PoC pubblici
• Esecuzione di comandi Erlang (os:cmd())
• Operazioni di scrittura file Erlang (file:write_file())
• Indicatori del protocollo SSH e di richieste di canale
• Banner SSH Erlang/OTP
• Pattern comuni di payload di exploit
• Artefatti degli scanner associati a CVE-2025-32433

Per ridurre i falsi positivi, la regola richiede più indicatori correlati prima di produrre una corrispondenza.

Utilizzo

yara -r rule-cve-2025-32433_v5.yar /path/to/scan

Validazione

La regola è stata testata contro:

• Artefatti pubblici di proof-of-concept per CVE-2025-32433
• Catture di rete di laboratorio controllato (PCAP/PCAPNG)
• Campioni benigni per verificare la specificità del rilevamento

Dichiarazione di non responsabilità

Questa regola è destinata alla ricerca difensiva sulla sicurezza e all'ingegneria del rilevamento. Rileva artefatti di sfruttamento noti e non deve essere considerata un rilevatore completo per ogni possibile implementazione o variante di exploit.