Nach der Kompromittierung eines Hosts kann ein Angreifer versuchen, eine Reverse Shell zu erstellen oder Datenverkehr durch das System zu tunneln. Diese Techniken können interaktiven Zugriff ermöglichen, interne Dienste offenlegen oder helfen, Netzwerkbeschränkungen zu umgehen.

Die Quelle definiert eine plattformübergreifende Suche, die sich auf häufig verwendete Dienstprogramme für Tunnelung und Fernadministration konzentriert.

In der Erkennung enthaltene Werkzeuge

Die Windows-Prozesskomponente umfasst:

• ssh.exe;

• plink.exe;

• socat.exe;

• nc.exe;

• ncat.exe;

• chisel.exe;

• cloudflared.exe.

Die Abfrage sucht außerdem nach Befehlszeilenargumenten wie -R, -L, reverse oder tunnel.

Die Linux-Audit-Telemetrie wird nach demselben allgemeinen Werkzeugsatz durchsucht.

Erkennungsabfrage

(data.win.system.eventID:1 and data.win.eventdata.image:(*\ssh.exe or *\plink.exe or *\socat.exe or *\nc.exe or *\ncat.exe or *\chisel.exe or *\cloudflared.exe) and data.win.eventdata.commandLine:(*-R* or *-L* or *reverse* or *tunnel*)) or (rule.groups: audit and data.audit.command:(ssh or socat or nc or ncat or chisel or cloudflared))

Die Quelle verzeichnete 11 passende Ereignisse in den vorangegangenen 30 Tagen.

Interpretation der Ergebnisse

Einige dieser Werkzeuge sind legitim. SSH-Portweiterleitung kann beispielsweise von Administratoren und Entwicklern verwendet werden. Cloudflared kann Teil einer genehmigten Anwendungsarchitektur sein.

Die entscheidende Frage ist, ob das Werkzeug auf dem Host erwartet wird und ob die Befehlszeile zu einem genehmigten Anwendungsfall passt.

Unerwartete Nutzung auf einem Produktionsserver oder einem neu kompromittierten Endpunkt sollte mehr Aufmerksamkeit erhalten.

Untersuchungsprioritäten

Prüfen Sie:

• Befehlszeilenargumente;

• Ziel-Rechnername oder -IP;

• lokale und entfernte Ports;

• Benutzerkonto;

• übergeordneter Prozess;

• Dateipfad und Signaturgeber;

• Zeitstempel der Ersterkennung;

• weitere Aktivität desselben Hosts.

Ein Tunnel, der von einem Webserver-Prozess oder unmittelbar nach verdächtiger RCE-Aktivität gestartet wird, ist besonders wichtig.

Strategie zur Feinabstimmung

Erstellen Sie explizite Basislinien für genehmigte SSH-Weiterleitung, Werkzeuge zur Fernunterstützung und bekannte Cloudflared-Bereitstellungen.

Ausnahmen sollten eingegrenzt werden auf:

• bekannte Hosts;

• genehmigte Konten;

• erwartete Ziele;

• erwartete Binärpfade;

• erwartete Befehlszeilenstrukturen.

So bleibt die Regel für unerwartete Verwendungen an anderer Stelle nützlich.

Korrelation mit anderer Aktivität

Eine Reverse Shell tritt häufig zusammen mit Erkundung, Zugriff auf Anmeldedaten oder Persistenz auf. Die Korrelation dieser Ereignisse kann die Zuverlässigkeit erhöhen.

Zum Beispiel:

Webanwendung → Shell → Chisel-Tunnel → Auslesen von Anmeldedaten

liefert ein deutlich klareres Angriffsmuster als jedes Einzelereignis.

Betrieblicher Nutzen

Die Quelle lieferte nur 11 Treffer, was diese zu einer relativ fokussierten Suche macht.

Die Überwachung gängiger Tunnelungswerkzeuge kann Verteidigern helfen, externe Administrationskanäle zu identifizieren, die nach einer Ausnutzung auftreten, und bietet wertvolle Einblicke in Befehls- und Steuerungsverhalten.