Dopo aver compromesso un host, un attaccante può tentare di creare una reverse shell o di instradare traffico attraverso il sistema. Queste tecniche possono fornire accesso interattivo, esporre servizi interni o aiutare a eludere le restrizioni di rete.
La fonte definisce una ricerca multipiattaforma incentrata sugli strumenti di tunneling e amministrazione remota di uso comune.
Strumenti inclusi nel rilevamento
La componente dei processi Windows include:
ssh.exe;plink.exe;socat.exe;nc.exe;ncat.exe;chisel.exe;cloudflared.exe.
La query cerca inoltre argomenti della riga di comando come -R, -L, reverse o tunnel.
La telemetria di audit di Linux viene analizzata per lo stesso insieme generale di strumenti.
Query di rilevamento
(data.win.system.eventID:1 and data.win.eventdata.image:(*\ssh.exe or *\plink.exe or *\socat.exe or *\nc.exe or *\ncat.exe or *\chisel.exe or *\cloudflared.exe) and data.win.eventdata.commandLine:(*-R* or *-L* or *reverse* or *tunnel*)) or (rule.groups: audit and data.audit.command:(ssh or socat or nc or ncat or chisel or cloudflared))
La fonte ha registrato 11 eventi corrispondenti nei 30 giorni precedenti.
Interpretazione dei risultati
Alcuni di questi strumenti sono legittimi. L'inoltro di porte SSH, ad esempio, può essere usato da amministratori e sviluppatori. Cloudflared può far parte di un'architettura applicativa approvata.
La domanda importante è se lo strumento sia previsto sull'host e se la riga di comando corrisponda a un caso d'uso approvato.
L'uso inatteso su un server di produzione o su un endpoint appena compromesso dovrebbe ricevere maggiore attenzione.
Priorità di indagine
Verifichi:
argomenti della riga di comando;
hostname o IP di destinazione;
porte locali e remote;
account utente;
processo padre;
percorso del file e firmatario;
timestamp della prima rilevazione;
altra attività dello stesso host.
Un tunnel avviato da un processo del server web o subito dopo un'attività RCE sospetta è particolarmente importante.
Strategia di ottimizzazione
Crei baseline esplicite per l'inoltro SSH approvato, gli strumenti di supporto remoto e le distribuzioni Cloudflared note.
Le eccezioni dovrebbero essere limitate a:
host noto;
account approvato;
destinazione prevista;
percorso binario previsto;
struttura della riga di comando prevista.
In questo modo la regola resta utile per usi inattesi altrove.
Correlazione con altre attività
Una reverse shell compare spesso insieme a ricognizione, accesso alle credenziali o persistenza. Correlare questi eventi può aumentare la confidenza.
Ad esempio:
applicazione web → shell → tunnel chisel → estrazione delle credenziali
fornisce uno schema di attacco molto più chiaro di qualsiasi evento da solo.
Valore operativo
La fonte ha prodotto solo 11 corrispondenze, rendendo questa una ricerca relativamente mirata.
Monitorare gli strumenti di tunneling più comuni può aiutare i difensori a individuare canali di amministrazione esterni che compaiono dopo uno sfruttamento e offre una preziosa visibilità sul comportamento di comando e controllo.
