pulse-meter

Pulse Meter

Isto é um trabalho em progresso para analisar o Snapshot do Sistema de um appliance Ivanti Connect Secure para identificar possíveis IOCs relacionados a CVE-2023-46805, CVE-2024-21887 e CVE-2025-0282.

Cuidado: Falsos positivos são possíveis, então é melhor verificar manualmente para confirmar quaisquer resultados.

Nota sobre a descriptografia do snapshot

O snapshot é criptografado com uma chave fixa. Infelizmente não posso publicar a chave aqui, então você precisará encontrá-la por conta própria.

Você precisará formatar a chave como uma string hexadecimal de 24 bytes e fornecê-la ao script usando a flag --key.

Executando

Primeiro você precisará instalar as dependências:

python -m venv env
source env/bin/activate
pip install -r requirements.txt

Agora você precisará obter um Snapshot do Sistema do seu appliance Ivanti/Pulse Connect Secure.

Você pode fazer isso acessando a interface de administração e indo para /dana-admin/dump/dump.cgi.

A partir daí, clique no botão "Take Snapshot", aguarde a conclusão e baixe o arquivo "Admin generated snapshot".

Depois de ter o snapshot, você pode executar o script da seguinte forma.

Primeiro, descriptografe o arquivo de snapshot:

> python .\pulse-meter.py decrypt .\pulsesecure-state-admin-localhost2-7-20240115-193030.encrypted --key <key>
2025-01-14 12:27:32,120 - DEBUG - Decrypted Snapshot
2025-01-14 12:27:32,372 - INFO - Decrypted snapshot file written to: .\pulsesecure-state-admin-localhost2-7-20240115-193030.decrypted

Depois execute o analisador:

> python .\pulse-meter.py parse .\pulsesecure-state-admin-localhost2-7-20240115-193030.decrypted  
2025-01-14 12:28:49,045 - INFO - Parsing snapshot file: .\pulsesecure-state-admin-localhost2-7-20240115-193030.decrypted
2025-01-14 12:28:49,229 - CRITICAL - [Yara IOC] Rule: SPAWN_Malware_Family (Detects artifacts related to the SPAWN Malware Family), Reference: https://www.mandiant.com/resources/blog/suspected-apt-targets-ivanti-zero-day

Referências

• https://www.volexity.com/blog/2024/01/10/active-exploitation-of-two-zero-day-vulnerabilities-in-ivanti-connect-secure-vpn/
• https://www.mandiant.com/resources/blog/suspected-apt-targets-ivanti-zero-day
• https://forums.ivanti.com/s/article/CVE-2023-46805-Authentication-Bypass-CVE-2024-21887-Command-Injection-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure-Gateways?language=en_US
• https://forums.ivanti.com/s/article/KB-CVE-2023-46805-Authentication-Bypass-CVE-2024-21887-Command-Injection-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure-Gateways?language=en_US
• https://attackerkb.com/topics/AdUh6by52K/cve-2023-46805/rapid7-analysis
• https://www.volexity.com/blog/2024/01/10/active-exploitation-of-two-zero-day-vulnerabilities-in-ivanti-connect-secure-vpn/