Na het compromitteren van een host kan een aanvaller proberen een reverse shell te maken of verkeer via het systeem te tunnelen. Deze technieken kunnen interactieve toegang bieden, interne diensten blootleggen of helpen netwerkbeperkingen te omzeilen.
De bron definieert een platformonafhankelijke zoekactie gericht op veelgebruikte hulpprogramma's voor tunnels en beheer op afstand.
In de detectie opgenomen hulpmiddelen
Het Windows-proces-onderdeel omvat:
ssh.exe;plink.exe;socat.exe;nc.exe;ncat.exe;chisel.exe;cloudflared.exe.
De zoekopdracht zoekt ook naar opdrachtregelargumenten zoals -R, -L, reverse of tunnel.
Linux-audit-telemetrie wordt doorzocht op dezelfde algemene set hulpmiddelen.
Detectiequery
(data.win.system.eventID:1 and data.win.eventdata.image:(*\ssh.exe or *\plink.exe or *\socat.exe or *\nc.exe or *\ncat.exe or *\chisel.exe or *\cloudflared.exe) and data.win.eventdata.commandLine:(*-R* or *-L* or *reverse* or *tunnel*)) or (rule.groups: audit and data.audit.command:(ssh or socat or nc or ncat or chisel or cloudflared))
De bron registreerde 11 overeenkomende gebeurtenissen in de afgelopen 30 dagen.
Interpretatie van de resultaten
Sommige van deze hulpmiddelen zijn legitiem. SSH-poortdoorsturing kan bijvoorbeeld door beheerders en ontwikkelaars worden gebruikt. Cloudflared kan deel uitmaken van een goedgekeurde applicatiearchitectuur.
De belangrijke vraag is of het hulpmiddel op de host wordt verwacht en of de opdrachtregel overeenkomt met een goedgekeurd gebruiksscenario.
Onverwacht gebruik op een productieserver of een recent gecompromitteerd endpoint verdient meer aandacht.
Onderzoeksprioriteiten
Controleer:
opdrachtregelargumenten;
doelhostnaam of -IP;
lokale en externe poorten;
gebruikersaccount;
bovenliggend proces;
bestandspad en ondertekenaar;
tijdstempel van eerste waarneming;
andere activiteit van dezelfde host.
Een tunnel die wordt gestart door een webserverproces of direct na verdachte RCE-activiteit is bijzonder belangrijk.
Afstemmingsstrategie
Maak expliciete referentiebases voor goedgekeurde SSH-doorsturing, hulpmiddelen voor ondersteuning op afstand en bekende Cloudflared-implementaties.
Uitzonderingen moeten beperkt zijn tot:
bekende host;
goedgekeurd account;
verwachte bestemming;
verwacht binair pad;
verwachte opdrachtregelstructuur.
Zo blijft de regel nuttig voor onverwacht gebruik elders.
Correlatie met andere activiteit
Een reverse shell verschijnt vaak samen met verkenning, toegang tot inloggegevens of persistentie. Het correleren van deze gebeurtenissen kan het vertrouwen vergroten.
Bijvoorbeeld:
webapplicatie → shell → chisel-tunnel → dumpen van inloggegevens
biedt een veel duidelijker aanvalspatroon dan een enkele gebeurtenis.
Operationele waarde
De bron leverde slechts 11 treffers op, waardoor dit een relatief gerichte zoekactie is.
Het bewaken van gangbare tunnelhulpmiddelen kan verdedigers helpen externe beheerkanalen te identificeren die na exploitatie verschijnen en biedt waardevol inzicht in gedrag voor aansturing en controle (C2).
