zimbra-cve-2026-73570-ir

Ele não explora, busca payloads, contata infraestrutura de IOC, remove artefatos, envia dados, inspeciona conteúdo de caixa de correio ou substitui análise forense. A ausência de achados pode significar logs ausentes/rotacionados, persistência inativa, permissões insuficientes, uma variante não reconhecida ou coleta após a limpeza pelo atacante.

Início rápido

Execute no host Zimbra a partir de uma sessão administrativa confiável. Prefira coletar evidências antes de investigações extensas, pois o trabalho em sistemas ativos pode alterar o estado volátil e os tempos de acesso.

Os códigos de saída do verificador são:

A saída do verificador usa as categorias INFO, MEDIUM, HIGH e CRITICAL. Ele deliberadamente não colapsa evidências diferenciadas em um único sinalizador COMPROMISED. Um relatório JSON é gravado somente quando --json é solicitado. As verificações de arquivos podem ser testadas contra um fixture isolado com --root; verificações de processos ativos e rede são então ignoradas.

O coletor cria um diretório com modo 0700 e um arquivo compactado ao lado dele, registra metadados de coleta e grava manifestos SHA-256. Ele lê arquivos suspeitos apenas para gerar hashes e não os coloca em quarentena, trunca, altera permissões, exclui ou executa. O pacote resultante pode conter nomes de host sensíveis, nomes de usuário, trechos de logs, configuração, endereços IP e chaves públicas: mantenha-o criptografado, com controle de acesso e fora deste repositório.

Modelo de evidências

Os indicadores são separados em:

• confirmado-no-host — observado nas evidências sanitizadas do incidente do host afetado; isso prova uma observação, não necessariamente execução bem-sucedida ou atribuição.
• confirmado-a-partir-de-payload-recuperado — presente no conteúdo do payload recuperado durante o incidente; isso não prova que o payload foi executado ou que a infraestrutura permanece ativa.
• somente-tentativa-de-exploração — observado em evidências de solicitação de exploração/fonte; isso não estabelece por si só a execução de comandos.

Consulte IOCS.md, iocs.csv e iocs.json. Nenhuma amostra de malware ou evidência específica de vítima está incluída. Nenhuma URL de payload foi contatada durante o desenvolvimento; o status das URLs é histórico/não verificado, a menos que um terceiro confiável estabeleça o contrário de forma independente.

Cadeia analítica derivada do incidente

As evidências sanitizadas suportam esta cadeia de trabalho:

Esta é uma cadeia derivada do incidente, não um comportamento universal da CVE. No conjunto de evidências sanitizadas, download/execução como a conta de serviço, um shell interativo, uma configuração Nginx controlada pelo atacante iniciada por root, processos root gs-dbus/[kcached] e persistência de root por hora são diretamente corroborados. Os mecanismos exatos de escalonamento de privilégios, a linha do tempo de implantação do JSP, cada ramo do payload, a identidade do operador e a atribuição permanecem lacunas dependentes de evidências. Consulte docs/triage.md.

Orientação de resposta

• Triagem: interprete achados e preserve a incerteza.
• Persistência: locais, disfarce de processos e validação.
• Contenção: isolamento seguro e prioridades de tratamento de segredos.
• Recuperação: orientação de reconstrução primeiro para comprometimento de root.

Não publique evidências ao vivo de vítimas ou amostras de malware. Após validação interna e autorização, pacotes de indicadores defensivos podem ser compartilhados com o Shadowserver. Envios ao URLhaus devem ser limitados a URLs verificadas de forma independente como URLs ativas de entrega de malware; URLs históricas ou não verificadas não devem ser enviadas como ativas.

Validação

Todos os testes usam fixtures estáticos e não realizam nenhuma atividade de rede:

Isso verifica sintaxe Bash, consistência de esquema/CSV/JSON de IOC, detecção de fixtures, saída legível por máquina e higiene do repositório. shellcheck é usado quando instalado.

Suporte e contribuições

Revise CONTRIBUTING.md antes de propor indicadores ou mudanças de detecção. Relate problemas de segurança de forma privada conforme descrito em SECURITY.md. Licenciado sob Apache-2.0; consulte LICENSE.