vdisec/cve-2019-19871-auditguideРуководство по аудиту уязвимости Citrix ADC CVE-2019-19871. Собрано из нескольких источников и оценок угроз. Будет обновляться по мере появления новых методов.
Теперь существует инструмент от FireEye, который поможет сканировать указанные ниже элементы. Ключевой момент: вам нужно иметь достаточно логов, чтобы вернуться к 1-9-2020, чтобы иметь шанс увидеть, что было сделано после выполнения эксплойта. Если он найдёт файлы полезной нагрузки .XML, вам нужно использовать информацию ниже, чтобы принять решение о дальнейших действиях. https://www.fireeye.com/blog/products-and-services/2020/01/fireeye-and-citrix-tool-scans-for-iocs-related-to-vulnerability.html
https://github.com/citrix/ioc-scanner-CVE-2019-19781 https://github.com/fireeye/ioc-scanner-CVE-2019-19781/
Сейчас нет простого способа доказать, что кто-то сделал. Поскольку существует 4 публичных эксплойта, каждый из них оставляет разные артефакты/сигнатуры, что полезно для обнаружения, но не даёт 100% гарантии. Важно помнить, что эти публичные эксплойты были приватными до 10-го числа, и это также не означает, что нет других в дикой природе, которыми люди не делятся ради собственной выгоды. В большинстве случаев эксплойты можно редактировать: можно изменить имя файла, который будет сброшен, имя учётной записи пользователя, имя процесса, путь запроса и многие другие параметры, что экспоненциально увеличивает возможности того, что кто-то мог эксплуатировать систему. Также существуют как продвинутые, так и базовые атакующие: одни заметают следы и придумывают очень хитрые способы исчезнуть в системе, чтобы избежать обнаружения.
Если вы используете Nessus, вы можете использовать файл .YAR ниже для привилегированного сканирования на предмет распространённых методов обнаружения. https://github.com/Neo23x0/signature-base/blob/master/yara/exploit_shitrix.yar
Отличные ссылки по этому процессу аудита. https://nerdscaler.com/2020/01/13/citrix-adc-cve-2019-19781-exploited-what-now/amp/ http://deyda.net/index.php/en/2020/01/15/checklist-for-citrix-adc-cve-2019-19781/
Отказ от ответственности: как было сказано ранее, это не обнаружит каждый эксплойт, но может помочь выявить некоторые аномалии, если атакующий не модифицировал публичные эксплойты и/или не убрал за собой следы. Большинство атакующих используют стандартный эксплойт, и это некоторые из задокументированных артефактов, которые могут остаться. Этот список команд взят из многих источников и будет очень динамичным по мере появления других вариантов, обходных путей и новых разработок. Можно рассчитывать, что это будет постоянно меняться по мере новых заражений и дальнейших криминалистических исследований с большей выборкой.
Сначала посмотрите на то, чего вы не делали. Если вы обычно мало что делаете на своём ADC, эти записи должны быть очень тихими, хотя в них могут быть записи за недели, месяцы или годы — с последнего раза, когда вы заходили. Более точные запросы приведены чуть ниже. Также поймите, что это игра в кошки-мышки, даже в этом блоге. Пока мы раскрываем то, что видели и как выявлять атакующих, они используют эту информацию против нас, меняя свою тактику, чтобы избежать обнаружения.
