Análise de Malware com Wireshark

Descrição

Neste laboratório, analisei uma captura de pacotes maliciosa conhecida do exploit Log4J. Comecei minha investigação com o mesmo playbook que uso para análise de captura de pacotes, que é examinar as estatísticas e ver quantos endpoints estão se comunicando e em que volume. Ao notar a enorme quantidade de endereços IP, quis mapear os endereços no globo, então instalei e configurei o banco de dados GEOIP da Max Mind, que resolve endereços IP para o país e a cidade correspondentes. Essa quantidade de endereços IP indica um potencial ataque de botnet usando o exploit Log4J ou outra varredura maliciosa. Como o tráfego na captura usava http e não https (criptografado), consegui identificar o exploit em texto claro filtrando por "jndi", que é a Interface de Nomenclatura e Diretório Java. O primeiro pacote desse filtro era uma requisição HTTP POST e, ao examinar o campo User-Agent, revelou uma requisição ldap para um IP seguida de texto codificado. A decodificação do texto no CyberChef mostrou que o código era um wget para um IP baixar um script shell, usar o comando chmod para dar permissões de execução e então executar o script. Além disso, para descobrir se a máquina host fez tentativas de conexão de saída para IPs públicos, o que indicaria um servidor de comando e controle, filtrei por ela como endereço de origem e por pacotes TCP SYN, que iniciam conexões TCP, e confirmei que não havia conexões. Isso pode ser resultado de a máquina estar corrigida ou de uma regra de firewall implícita bloqueando conexões de saída. Quando ficou claro que o ataque não teve sucesso, realizei mais inteligência de ameaças sobre o IP no comando wget e descobri que o IP é conhecido como malicioso e, na aba da comunidade no VirusTotal, o IP estava associado a ataques Log4shell, confirmando ainda mais o ataque. Minha abordagem foi inicialmente ver quem estava se comunicando com o servidor alvo. Em seguida, foi crucial determinar se o servidor atacado (198.71.247.91) iniciou alguma nova conexão de saída.

Ferramentas Utilizadas