După compromiterea unei gazde, un atacator poate încerca să creeze un reverse shell sau să tuneleze traficul prin sistem. Aceste tehnici pot oferi acces interactiv, pot expune servicii interne sau pot ajuta la ocolirea restricțiilor de rețea.
Sursa definește o vânătoare multiplatformă axată pe utilitarele de tunelare și de administrare la distanță utilizate frecvent.
Instrumente incluse în detecție
Componenta pentru procesele Windows include:
ssh.exe;plink.exe;socat.exe;nc.exe;ncat.exe;chisel.exe;cloudflared.exe.
Interogarea caută, de asemenea, argumente în linia de comandă precum -R, -L, reverse sau tunnel.
Telemetria audit de pe Linux este verificată pentru același set general de instrumente.
Interogarea de detecție
(data.win.system.eventID:1 and data.win.eventdata.image:(*\ssh.exe or *\plink.exe or *\socat.exe or *\nc.exe or *\ncat.exe or *\chisel.exe or *\cloudflared.exe) and data.win.eventdata.commandLine:(*-R* or *-L* or *reverse* or *tunnel*)) or (rule.groups: audit and data.audit.command:(ssh or socat or nc or ncat or chisel or cloudflared))
Sursa a înregistrat 11 evenimente potrivite în ultimele 30 de zile.
Interpretarea rezultatelor
Unele dintre aceste instrumente sunt legitime. Redirecționarea porturilor prin SSH, de exemplu, poate fi utilizată de administratori și dezvoltatori. Cloudflared poate face parte dintr-o arhitectură de aplicație aprobată.
Întrebarea importantă este dacă instrumentul este așteptat pe gazdă și dacă linia de comandă corespunde unui caz de utilizare aprobat.
Utilizarea neașteptată pe un server de producție sau pe un endpoint recent compromis ar trebui să primească mai multă atenție.
Priorități de investigare
Analizați:
argumentele din linia de comandă;
numele de gazdă sau adresa IP a destinației;
porturile locale și la distanță;
contul de utilizator;
procesul părinte;
calea fișierului și semnatarul;
momentul primei observări;
alte activități de pe aceeași gazdă.
Un tunel lansat de un proces de server web sau imediat după o activitate suspectă de RCE este deosebit de important.
Strategie de reglare
Creați linii de bază explicite pentru redirecționarea SSH aprobată, instrumentele de suport la distanță și implementările Cloudflared cunoscute.
Excepțiile ar trebui limitate la:
gazdă cunoscută;
cont aprobat;
destinație așteptată;
calea așteptată a fișierului binar;
structura așteptată a liniei de comandă.
Acest lucru menține regula utilă pentru utilizări neașteptate în altă parte.
Corelarea cu alte activități
Un reverse shell apare adesea împreună cu recunoașterea, accesul la credențiale sau persistența. Corelarea acestor evenimente poate crește nivelul de încredere.
De exemplu:
aplicație web → shell → tunel chisel → extragerea credențialelor
oferă un tipar de atac mult mai clar decât orice eveniment luat individual.
Valoare operațională
Sursa a produs doar 11 potriviri, ceea ce face din aceasta o vânătoare relativ focalizată.
Monitorizarea instrumentelor de tunelare uzuale poate ajuta apărătorii să identifice canalele de administrare externă care apar după exploatare și să ofere o vizibilitate valoroasă asupra comportamentului de tip command-and-control.
