CVE-2024-3400 侵害チェッカー

Palo Alto Firewalls上でCVE-2024-3400に関連する侵害の証拠を確認するための非常にシンプルなbashスクリプトです。

VolexityのレポートとdeFroggyのブログ記事で概説されているアーティファクトの存在を確認することで、影響を受ける可能性のあるデバイスの迅速な初期トリアージを提供するように設計されています。

Usage: ./cve-2024-3400_checker.sh

脆弱性自体とこのスクリプトが確認するIOCの詳細については、以下のそれぞれの公開情報を参照してください。

• https://security.paloaltonetworks.com/CVE-2024-3400
• https://www.volexity.com/blog/2024/04/12/zero-day-exploitation-of-unauthenticated-remote-code-execution-vulnerability-in-globalprotect-cve-2024-3400/
• https://github.com/deFr0ggy/deFr0ggy.github.io/blob/29806acfdab0b850b8e53542116c6098f498be97/_posts/2024-04-13-Palo%20Alto%20Exploit%20Analysis%20of%20CVE-2024-3400.md#L4

免責事項：公開エクスプロイトが利用可能になるにつれて、活動の範囲は拡大し、TTPはほぼ確実に変化するでしょう。このスクリプトはすべての悪意のある活動を完全に検出できるわけではなく、影響を受ける可能性のあるデバイスの初期トリアージをファーストレスポンダーが実行できるようにすることを最善の意図として作成されました。上記の技術ブログ記事を参考に、さらなる調査を強くお勧めします。本番システムで実行する前にテストしてください。ここで提供されるスクリプトは、明示または黙示を問わず、いかなる種類の保証もなく「現状のまま」提供されます。作者は、これらのスクリプトの使用に起因するいかなる損害や問題についても一切の責任を負いません。これらのスクリプトは自己責任で使用してください。これらのスクリプトを使用することにより、これらの利用規約に同意したものとみなされます。