pulse-meter

Pulse Meter

Это работа в процессе по анализу системного снимка (System Snapshot) из устройства Ivanti Connect Secure для выявления возможных индикаторов компрометации (IOC), связанных с CVE-2023-46805, CVE-2024-21887 и CVE-2025-0282.

Предупреждение: Возможны ложные срабатывания, поэтому рекомендуется вручную проверять любые результаты.

Примечание о расшифровке снимка

Снимок зашифрован с использованием жёстко заданного ключа. К сожалению, я не могу опубликовать ключ здесь, поэтому вам придётся найти его самостоятельно.

Вам нужно будет отформатировать ключ как 24-байтовую шестнадцатеричную строку и передать её скрипту с помощью флага --key.

Запуск

Сначала необходимо установить зависимости:

python -m venv env
source env/bin/activate
pip install -r requirements.txt

Теперь вам нужно получить системный снимок (System Snapshot) из вашего устройства Ivanti/Pulse Connect Secure.

Вы можете сделать это, войдя в интерфейс администратора и перейдя в /dana-admin/dump/dump.cgi.

Отсюда нажмите кнопку "Take Snapshot", дождитесь завершения и загрузите файл "Admin generated snapshot".

Получив снимок, вы можете запустить скрипт следующим образом.

Сначала расшифруйте файл снимка:

> python .\pulse-meter.py decrypt .\pulsesecure-state-admin-localhost2-7-20240115-193030.encrypted --key <ключ>
2025-01-14 12:27:32,120 - DEBUG - Decrypted Snapshot
2025-01-14 12:27:32,372 - INFO - Decrypted snapshot file written to: .\pulsesecure-state-admin-localhost2-7-20240115-193030.decrypted

Затем запустите парсер:

> python .\pulse-meter.py parse .\pulsesecure-state-admin-localhost2-7-20240115-193030.decrypted  
2025-01-14 12:28:49,045 - INFO - Parsing snapshot file: .\pulsesecure-state-admin-localhost2-7-20240115-193030.decrypted
2025-01-14 12:28:49,229 - CRITICAL - [Yara IOC] Rule: SPAWN_Malware_Family (Detects artifacts related to the SPAWN Malware Family), Reference: https://www.mandiant.com/resources/blog/suspected-apt-targets-ivanti-zero-day

Ссылки

• https://www.volexity.com/blog/2024/01/10/active-exploitation-of-two-zero-day-vulnerabilities-in-ivanti-connect-secure-vpn/
• https://www.mandiant.com/resources/blog/suspected-apt-targets-ivanti-zero-day
• https://forums.ivanti.com/s/article/CVE-2023-46805-Authentication-Bypass-CVE-2024-21887-Command-Injection-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure-Gateways?language=en_US
• https://forums.ivanti.com/s/article/KB-CVE-2023-46805-Authentication-Bypass-CVE-2024-21887-Command-Injection-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure-Gateways?language=en_US
• https://attackerkb.com/topics/AdUh6by52K/cve-2023-46805/rapid7-analysis
• https://www.volexity.com/blog/2024/01/10/active-exploitation-of-two-zero-day-vulnerabilities-in-ivanti-connect-secure-vpn/