Le applicazioni web e i server applicativi ospitati su Linux possono esporre una preziosa telemetria di post-sfruttamento quando sono disponibili i log di audit. Una RCE riuscita non produce necessariamente un file malware univoco o un evidente alert di sfruttamento. Può invece manifestarsi come un contesto di applicazione web che improvvisamente esegue shell, utility di download, interpreti o comandi di individuazione del sistema.
La fonte definisce una ricerca comportamentale che cerca esattamente questo tipo di attività.
Cosa cerca il rilevamento
La query cerca nella telemetria di audit di Linux comandi comunemente associati ad accesso shell, ricognizione, consegna del payload ed esecuzione successiva. Tra questi:
sh,bash,dashezsh;curlewget;nc,ncatesocat;python,python3eperl;chmodechown;whoami,ideuname.
La ricerca diventa più mirata quando questi comandi vengono eseguiti da cartelle web o applicative come /var/www, /srv/www, Tomcat, SAP, webapps, public_html, moduli Node, Next.js o cartelle Langflow.
La fonte associa questa copertura a RCE che interessano SAP NetWeaver, React e Next.js, Langflow, ActiveMQ, cPanel, WordPress, Joomla, applicazioni Oracle, appliance e altri servizi Java, Python, PHP o Node.
Query di rilevamento
rule.groups:*audit* and data.audit.command:(*sh* or *bash* or *dash* or *zsh* or *curl* or *wget* or *nc* or *ncat* or *socat* or *python* or *python3* or *perl* or *chmod* or *chown* or *whoami* or *id* or *uname*) and data.audit.cwd:(/var/www* or /srv/www* or /opt/tomcat* or /opt/sap* or /usr/sap* or /opt/*/webapps* or */public_html* or */node_modules* or */next* or */langflow*)
Una versione più ampia della fonte elimina la condizione sulla cartella di lavoro:
rule.groups:*audit* and data.audit.command:(*sh* or *bash* or *dash* or *zsh* or *curl* or *wget* or *nc* or *ncat* or *socat* or *python* or *python3* or *perl* or *chmod* or *chown* or *whoami* or *id* or *uname*)
La ricerca più ampia ha prodotto 3,746 eventi nei 30 giorni precedenti.
Perché il contesto della cartella di lavoro è utile
Un comando come curl o python3 è comune su molti sistemi Linux. Il valore della prima query deriva dalla combinazione del comando con il contesto di esecuzione.
Ad esempio, una shell avviata da una cartella legata a un’applicazione web è più interessante della stessa shell avviata dalla cartella personale di un amministratore noto. Allo stesso modo, whoami, id o uname eseguiti da una cartella di un’applicazione web possono essere utili indicatori di ricognizione quando compaiono in modo inatteso.
La cartella di lavoro contribuisce quindi a ridurre il divario tra una ricerca generica di comandi e un rilevamento di post-sfruttamento incentrato sull’applicazione.
Approccio all'indagine
Quando viene individuata una corrispondenza, gli analisti dovrebbero verificare:
il percorso dell’eseguibile;
cartella di lavoro corrente;
l’utente effettivo e l’utente di audit originale;
processo padre;
la riga di comando completa;
le connessioni di rete successive all’esecuzione;
i file creati o modificati;
i log applicativi attorno allo stesso timestamp.
Una sequenza in cui un contesto applicativo esegue whoami, seguito da curl e poi da una shell, è considerevolmente più interessante di un singolo comando isolato.
Ottimizzazione e sviluppo della baseline
Il numero di risultati della fonte suggerisce che l’ampio elenco di comandi possa generare molto rumore. L’ottimizzazione dovrebbe quindi iniziare separando l’esecuzione specifica dell’applicazione dalla normale amministrazione di sistema.
Dimensioni utili per l’elenco degli elementi consentiti possono includere:
account di automazione noti;
script approvati;
finestre di manutenzione;
directory applicative previste;
strumenti di distribuzione noti;
job di gestione dei pacchetti noti.
L’obiettivo non è eliminare la visibilità sulla riga di comando, ma preservare le combinazioni insolite di comando, cartella, utente e contesto applicativo.
Valore pratico
Questo rilevamento è utile perché non dipende dall’identificazione di uno specifico payload di un exploit. Cerca comportamenti che possono verificarsi dopo molte diverse vulnerabilità delle applicazioni web.
Per i server Linux monitorati con Wazuh e telemetria di audit, questo approccio può aiutare a individuare il passaggio dall’applicazione vulnerabile all’esecuzione a livello di sistema operativo e a offrire un livello pratico di threat hunting su più tecnologie.
