Op Linux gehoste webtoepassingen en applicatieservers kunnen waardevolle telemetrie van na het misbruik opleveren wanneer auditlogregistratie beschikbaar is. Een geslaagde RCE levert niet noodzakelijk een uniek malwarebestand of een duidelijke exploitmelding op. In plaats daarvan kan het zich voordoen als een webtoepassingscontext die plotseling shells, downloadhulpprogramma's, interpreters of opdrachten voor systeemverkenning uitvoert.
De bron definieert een gedragsgebaseerde zoekactie die precies naar dit type activiteit zoekt.
Waar de detectie naar zoekt
De zoekopdracht doorzoekt Linux-audittelemetrie op opdrachten die gewoonlijk samenhangen met shelltoegang, verkenning, aflevering van schadelijke ladingen en vervolguitvoering. Deze omvatten:
sh,bash,dashenzsh;curlenwget;nc,ncatensocat;python,python3enperl;chmodenchown;whoami,idenuname.
De zoekactie wordt gerichter wanneer deze opdrachten worden uitgevoerd vanuit web- of applicatiemappen zoals /var/www, /srv/www, Tomcat, SAP, webapps, public_html, Node-modules, Next.js of Langflow-mappen.
De bron koppelt deze dekking aan RCE die SAP NetWeaver, React en Next.js, Langflow, ActiveMQ, cPanel, WordPress, Joomla, Oracle-toepassingen, apparaten en andere Java-, Python-, PHP- of Node-diensten treft.
Detectiequery
rule.groups:*audit* and data.audit.command:(*sh* or *bash* or *dash* or *zsh* or *curl* or *wget* or *nc* or *ncat* or *socat* or *python* or *python3* or *perl* or *chmod* or *chown* or *whoami* or *id* or *uname*) and data.audit.cwd:(/var/www* or /srv/www* or /opt/tomcat* or /opt/sap* or /usr/sap* or /opt/*/webapps* or */public_html* or */node_modules* or */next* or */langflow*)
Een bredere versie uit de bron laat de voorwaarde voor de werkmap weg:
rule.groups:*audit* and data.audit.command:(*sh* or *bash* or *dash* or *zsh* or *curl* or *wget* or *nc* or *ncat* or *socat* or *python* or *python3* or *perl* or *chmod* or *chown* or *whoami* or *id* or *uname*)
De bredere zoekactie leverde 3,746 gebeurtenissen op in de afgelopen 30 dagen.
Waarom de context van de werkmap helpt
Een opdracht zoals curl of python3 komt op veel Linux-systemen veel voor. De waarde van de eerste zoekopdracht komt voort uit de combinatie van de opdracht met de uitvoeringscontext.
Een shell die vanuit een map van een webapplicatie wordt gestart, is bijvoorbeeld interessanter dan dezelfde shell die vanuit de thuismap van een bekende beheerder wordt gestart. Evenzo kunnen whoami, id of uname die onverwacht vanuit een webapplicatiemap worden uitgevoerd, nuttige indicatoren van verkenning zijn.
De werkmap helpt dus de kloof te verkleinen tussen een generieke zoekactie op opdrachten en op applicaties gerichte detectie van activiteit na misbruik.
Onderzoeksaanpak
Wanneer er een treffer wordt gevonden, moeten analisten het volgende beoordelen:
het pad van het uitvoerbare bestand;
huidige werkmap;
de effectieve gebruiker en de oorspronkelijke auditgebruiker;
bovenliggend proces;
de volledige opdrachtregel;
netwerkverbindingen na de uitvoering;
aangemaakte of gewijzigde bestanden;
applicatielogs rond hetzelfde tijdstip.
Een reeks waarbij een applicatiecontext whoami uitvoert, gevolgd door curl en vervolgens een shell, is aanzienlijk interessanter dan één enkele geïsoleerde opdracht.
Afstemming en opbouw van een referentiebasis
Het aantal bronresultaten wijst erop dat de brede lijst met opdrachten veel ruis kan veroorzaken. Afstemming moet daarom beginnen met het scheiden van applicatiespecifieke uitvoering en normaal systeembeheer.
Nuttige dimensies voor de lijst met toegestane items kunnen zijn:
bekende automatiseringsaccounts;
goedgekeurde scripts;
onderhoudsvensters;
verwachte applicatiemappen;
bekende deploymenttools;
bekende pakketbeheertaken.
Het doel is niet om de zichtbaarheid van opdrachtregels weg te nemen, maar om ongebruikelijke combinaties van opdracht, map, gebruiker en applicatiecontext te behouden.
Praktische waarde
Deze detectie is nuttig omdat ze niet afhankelijk is van het herkennen van een specifieke exploitlading. Ze zoekt naar gedrag dat kan optreden na veel verschillende kwetsbaarheden in webapplicaties.
Voor Linux-servers die met Wazuh en audittelemetrie worden gemonitord, kan deze aanpak helpen de overgang van kwetsbare applicatie naar uitvoering op besturingssysteemniveau te identificeren en een praktische huntinglaag over meerdere technologieën heen te bieden.
