Verificador de Comprometimento CVE-2024-3400

Um script bash muito simples para verificar evidências de comprometimento relacionadas à CVE-2024-3400 em firewalls Palo Alto.

Projetado para fornecer uma triagem inicial rápida de dispositivos potencialmente impactados por meio da verificação da existência dos artefatos descritos no artigo da Volexity e no post do blog do deFroggy.

Uso: ./cve-2024-3400_checker.sh

Para informações mais detalhadas sobre a vulnerabilidade em si e os IOCs que este script verifica, consulte as respectivas publicações abaixo:

• https://security.paloaltonetworks.com/CVE-2024-3400
• https://www.volexity.com/blog/2024/04/12/zero-day-exploitation-of-unauthenticated-remote-code-execution-vulnerability-in-globalprotect-cve-2024-3400/
• https://github.com/deFr0ggy/deFr0ggy.github.io/blob/29806acfdab0b850b8e53542116c6098f498be97/_posts/2024-04-13-Palo%20Alto%20Exploit%20Analysis%20of%20CVE-2024-3400.md#L4

Aviso legal: À medida que exploits públicos se tornam disponíveis, o escopo da atividade provavelmente aumentará e os TTPs quase certamente mudarão. Este script pode não fornecer detecção completa de toda atividade maliciosa e foi criado com as melhores intenções para permitir que os primeiros respondedores realizem uma triagem inicial de dispositivos potencialmente impactados. É altamente recomendável uma investigação adicional, com referência aos posts técnicos acima. Teste antes de executar em sistemas de produção. Os scripts fornecidos aqui são oferecidos como estão, sem garantia de qualquer tipo, expressa ou implícita. O autor não assume responsabilidade ou obrigação por quaisquer danos ou problemas resultantes do uso destes scripts. Use estes scripts por sua conta e risco. Ao usar estes scripts, você concorda com estes termos e condições.