OpenWire-CVE-2023-46604-Investigation
OpenWire ラボ
Tier 2 の Security Operations Center (SOC) アナリストとしてシフト中、Tier 1 アナリストから、複数の不審な外部IPアドレスと通信していることが観察された公開アクセス可能なサーバに関するエスカレーションを受け取りました。
これに対応し、私は標準的なインシデントレスポンス (IR) 手順を開始しました。これには、横展開と潜在的なデータ流出を防ぐために影響を受けたサーバをネットワークから隔離することが含まれます。その後、さらなる調査のためにNSMプラットフォームからパケットキャプチャ (PCAP) ファイルが取得されました。
私の目的は、ネットワークトラフィックを分析し、悪意のある活動の指標を特定することでした。
- 最初の不審な外部IPアドレスの特定
ネットワークトラフィックを分析し、サーバとの確立された接続を確認した後、OpenWireプロトコルに関連するパケットを特定しました。これらの通信をさらに調査した結果、攻撃に関与する不審な外部IPアドレスが明らかになりました:
146.190.21.92
- 攻撃中に使用されたポートの特定
OpenWire トラフィックを調査中、対象サービスがApache ActiveMQ であることを発見しました。Apache ActiveMQ は、分散アプリケーション間の通信を可能にするオープンソースのメッセージブローカーです。さらに分析した結果、攻撃者は以下のポートを介して通信していることが判明しました:
61616
- 2つ目のC2サーバの特定
HTTP トラフィックを分析し、ファイルを確認することで（Export Objects → HTTP Object List）、攻撃者のインフラストラクチャに関連する2つ目の外部IPアドレスを特定しました:
128.199.52.72
- 侵害されたサービスの特定
OpenWire 通信の分析により、侵害されたサービスが Apache ActiveMQ であることが確認されました。このサービスは攻撃の主な標的であり、後にリモートコード実行に対して脆弱であると判断されました。
- リバースシェルペイロードの特定
攻撃者はしばしば侵害されたシステムに活動の痕跡を残します。HTTP トラフィックと侵入中に実行されたコマンドの両方を分析することで、サーバ上に展開されたリバースシェルファイルを特定しました:
docker
- エクスプロイトチェーンの分析
調査中、私は侵害されたサーバから発信される不審なアウトバウンドトラフィックを観察しました。使用されていたUser-Agentは java/11.0.21 です。サーバは不審なIPアドレス 146.190.21.92 に接続を開始し、リモートのXML設定ファイル /invoice.xml を取得しました。Wiresharkを使用し、プレーンテキストで ip.addr == 146.190.21.92 とフィルタリングすることで、該当する通信ストリームを特定し、悪意のあるペイロードファイル ./invoice を抽出しました。ペイロードのさらなる調査により、攻撃者がApache ActiveMQのリモートコード実行（RCE）脆弱性を悪用したことが明らかになりました。XMLファイルには、Java Runtime Environmentに特定のJavaクラスをインスタンス化させ、オペレーティングシステムのコマンドを実行できるようにする悪意のある命令が含まれていました。特定されたJavaクラスは java.lang.ProcessBuilder です。
- 関連するCVEの特定
観察された攻撃行動（OpenWire通信によるApache ActiveMQの悪用、リモートXMLの取得、オブジェクトのインスタンス化、コマンド実行のためのjava.lang.ProcessBuilderの使用を含む）に基づき、この活動は以下の脆弱性に関連付けられました:
CVE-2023-46604
この脆弱性により、攻撃者はApache ActiveMQ内の安全でないオブジェクトインスタンス化メカニズムを悪用してリモートコード実行（RCE）を達成できます。
侵害指標（IOC）
IPアドレス
146.190.21.92
128.199.52.72
ネットワークポート
61616
ファイル
docker
invoice.xml
ペイロード
invoice
脆弱性
CVE-2023-46604
aelshimony-cloud/openwire-cve-2023-46604-investigation
