Detecção de CVE-2025-32433

Autor: te0rwx
Criado em: 2025-08-27 (Atualizado em 2026-08-16)

Descrição

Uma regra YARA personalizada para detectar artefatos conhecidos associados à CVE-2025-32433, uma vulnerabilidade de execução remota de código (RCE) pré-autenticação no SSH do Erlang/OTP.

A regra foi desenvolvida e validada contra artefatos públicos de prova de conceito (PoC) e capturas de rede geradas em laboratório controlado.

Cobertura de Detecção

Esta regra detecta indicadores conhecidos associados à CVE-2025-32433, incluindo:

• Artefatos públicos de PoC
• Execução de comandos Erlang (os:cmd())
• Operações de escrita em arquivo Erlang (file:write_file())
• Indicadores do protocolo SSH e de solicitação de canal
• Banners SSH do Erlang/OTP
• Padrões comuns de payload de exploração
• Artefatos de scanner associados à CVE-2025-32433

Para reduzir falsos positivos, a regra exige múltiplos indicadores relacionados antes de produzir uma correspondência.

Uso

yara -r rule-cve-2025-32433_v5.yar /path/to/scan

Validação

A regra foi testada contra:

• Artefatos públicos de prova de conceito da CVE-2025-32433
• Capturas de rede de laboratório controlado (PCAP/PCAPNG)
• Amostras benignas para verificar a especificidade da detecção

Aviso Legal

Esta regra destina-se à pesquisa defensiva de segurança e engenharia de detecção. Ela detecta artefatos de exploração conhecidos e não deve ser considerada um detector abrangente para toda implementação ou variante de exploração possível.