Aplicațiile web și serverele de aplicații găzduite pe Linux pot expune o telemetrie de post-exploatare valoroasă atunci când este disponibilă înregistrarea de audit. Un RCE reușit nu produce neapărat un fișier malware unic sau o alertă evidentă de exploit. În schimb, poate apărea sub forma unui context de aplicație web care execută brusc shell-uri, utilitare de descărcare, interpretoare sau comenzi de descoperire a sistemului.

Sursa definește o vânătoare comportamentală care caută exact acest tip de activitate.

Ce caută detecția

Interogarea caută în telemetria de audit Linux comenzi asociate frecvent cu accesul la shell, recunoașterea, livrarea de payload și execuția ulterioară. Acestea includ:

• sh, bash, dash și zsh;

• curl și wget;

• nc, ncat și socat;

• python, python3 și perl;

• chmod și chown;

• whoami, id și uname.

Vânătoarea devine mai focalizată atunci când aceste comenzi se execută din directoare web sau de aplicație precum /var/www, /srv/www, Tomcat, SAP, webapps, public_html, module Node, Next.js sau directoare Langflow.

Sursa asociază această acoperire cu RCE care afectează SAP NetWeaver, React și Next.js, Langflow, ActiveMQ, cPanel, WordPress, Joomla, aplicații Oracle, appliance-uri și alte servicii Java, Python, PHP sau Node.

Interogare de detecție

rule.groups:*audit* and data.audit.command:(*sh* or *bash* or *dash* or *zsh* or *curl* or *wget* or *nc* or *ncat* or *socat* or *python* or *python3* or *perl* or *chmod* or *chown* or *whoami* or *id* or *uname*) and data.audit.cwd:(/var/www* or /srv/www* or /opt/tomcat* or /opt/sap* or /usr/sap* or /opt/*/webapps* or */public_html* or */node_modules* or */next* or */langflow*)

O versiune mai largă din sursă elimină condiția directorului de lucru:

rule.groups:*audit* and data.audit.command:(*sh* or *bash* or *dash* or *zsh* or *curl* or *wget* or *nc* or *ncat* or *socat* or *python* or *python3* or *perl* or *chmod* or *chown* or *whoami* or *id* or *uname*)

Vânătoarea mai largă a produs 3.746 de evenimente în ultimele 30 de zile.

De ce ajută contextul directorului de lucru

O comandă precum curl sau python3 este obișnuită pe multe sisteme Linux. Valoarea primei interogări provine din combinarea comenzii cu contextul de execuție.

De exemplu, un shell pornit dintr-un director asociat unei aplicații web este mai interesant decât același shell pornit din directorul personal cunoscut al unui administrator. De asemenea, whoami, id sau uname executate dintr-un director de aplicație web pot fi indicatori utili de recunoaștere atunci când apar în mod neașteptat.

Prin urmare, directorul de lucru ajută la reducerea distanței dintre o vânătoare generică de comenzi și o detecție de post-exploatare focalizată pe aplicație.

Abordarea investigației

Atunci când se găsește o potrivire, analiștii ar trebui să examineze:

• calea executabilului;

• directorul de lucru curent;

• utilizatorul efectiv și utilizatorul de audit original;

• procesul-părinte;

• linia de comandă completă;

• conexiunile de rețea care urmează execuției;

• fișierele create sau modificate;

• jurnalele de aplicație din jurul aceleiași marcaje de timp.

O secvență precum un context de aplicație care execută whoami, urmat de curl, urmat de un shell, este considerabil mai interesantă decât o singură comandă izolată.

Reglarea și dezvoltarea liniei de bază

Numărul de rezultate din sursă sugerează că lista largă de comenzi poate crea un zgomot semnificativ. Prin urmare, reglarea ar trebui să înceapă prin separarea execuției specifice aplicației de administrarea normală a sistemului.

Dimensiuni utile pentru lista de permisiuni pot include:

• conturi de automatizare cunoscute;

• scripturi aprobate;

• ferestre de mentenanță;

• directoare de aplicație așteptate;

• instrumente de implementare cunoscute;

• joburi cunoscute de management al pachetelor.

Obiectivul nu este eliminarea vizibilității asupra liniei de comandă, ci păstrarea combinațiilor neobișnuite de comandă, director, utilizator și context de aplicație.

Valoare practică

Această detecție este utilă deoarece nu depinde de identificarea unui payload de exploit specific. Ea caută un comportament care poate apărea după multe vulnerabilități diferite ale aplicațiilor web.

Pentru serverele Linux monitorizate cu Wazuh și telemetrie de audit, această abordare poate ajuta la identificarea tranziției de la o aplicație vulnerabilă la execuția pe sistemul de operare și poate oferi un strat practic de hunting pe mai multe tehnologii.