ma1am/cve-2022-26134-exploit-detection이 저장소에는 보안 조사관이 Linux Confluence 서버에서 CVE-2022-26134 위협 헌팅을 위해 사용하고자 할 수 있는 Yara 규칙과 방법이 포함되어 있습니다.
이 취약점을 최초로 공개한 volexity/threat-intel이 제공한 Yara 규칙을 사용합니다.
Git 클론
git clone https://github.com/th3b3ginn3r/CVE-2022-26134-Exploit-Detection.git
원본 파일 다운로드
CVE-2022-26134.yar: https://raw.githubusercontent.com/th3b3ginn3r/CVE-2022-26134-Exploit-Detection-on-Linux/main/CVE-2022-26134.yar
curl -o <CVE-2022-26134.yar url>
또는 volexity 저장소에서 Yara 규칙을 직접 다운로드할 수도 있습니다.
sudo clamscan -d /path-to-the/CVE-2022-26134.yar -r /path-to-scan -io #If scannig "/" root directory, include " exclude-dir="^/sys" " in the command.
스캔을 실행하면 스캔 요약이 표시됩니다. 아래는 그 예시입니다.
----------- SCAN SUMMARY -----------
Known viruses: 3 #These are the number of Yara rules in the CVE-2022-26134.yar file
Engine version: 0.xxx.5
Scanned directories: 20000
Scanned files: 200000
Infected files: 0 #See the count of infected files or the list of files that matches the conditions of the Yara rules
Data scanned: 1000.08 MB
Data read: 18000.00 MB (ratio 0.54:1)
Time: 284.885 sec (4 m 44 s)
Start Date: 2022:06:03 00:19:34
End Date: 2022:06:03 00:24:19
아래 Confluence 로그에서 의심스러운 활동을 추가로 검색할 수도 있습니다:
수동 헌팅에 대한 상세 글 : https://link.medium.com/cebuWoAazqb
[GPL] GPL-3.0 라이선스