CVE-2021-44228 DFIR-Notes

帰宅途中に、#log4shell脆弱性に関する最初のメッセージが流れてきました。

Apache Log4j 2ユーティリティの複数のバージョンに影響する高重大度の脆弱性（CVE-2021-44228）が、2021年12月9日にプロジェクトのGitHubを通じて公開されました。この脆弱性は、Alibaba Cloud Security TeamのChen Zhaojun氏によって発見され、Apache Log4j 2のバージョン2.0から2.14.1に影響します。

帰宅後すぐに取り掛かりました。いつものようにSplunk4twです。

最初の概念実証エクスプロイトがGitHubで公開された後、脅威アクターは認証を必要としないこのリモートで悪用可能なセキュリティ欠陥に対して脆弱なシステムをインターネット上でスキャンし始めました。以下に示すのは、それらのスキャンおよびエクスプロイト試行の一部です。

最初に行うことは、誰かが初期のYARAルールを公開していないか確認することです。ここで見つけました https://gist.github.com/Neo23x0/e4c8b03ff8cdf1fa63b7d15db6e3860b (Florian Rothに感謝)

検出用文字列として次のものが挙げられています。 strings: $x1 = "${jndi:ldap:/" $x2 = "${jndi:rmi:/" $x3 = "${jndi:ldaps:/" $x4 = "${jndi:dns:/"

怖くないですね...CPUを酷使して、最悪のSplunk検索で一気に片付けましょう。


  index=* jndi:ldap* (updated query with index=* "{lower:l}${lower:d}a${lower:p}")

IISログとWindowsイベントログ（編集済み）の両方でヒットがあり、ファイアウォールログにも多くのブロックされた試行がありました....

IIS:

WINEVENTLOG:

IPアドレス45.155.205.233を確認...ロシアのサンクトペテルブルク...驚きです。

見つかった文字列は、教科書的な難読化されたエンコード済み悪意のある文字列のように見えます。何をするのか見てみましょう:

CVE-2021-44228-DFIR-Notes

人気