Die Sicherheitslücke CVE-2024-3400 hängt mit einem Command-Injection-Fehler zusammen
Cyberangreifer nutzen eine kürzlich aufgedeckte Schwachstelle in der PAN-OS-Software von Palo Alto Networks seit dem 26. März 2024 aus, fast drei Wochen vor ihrer öffentlichen Bekanntgabe. Diese Aktivität, die von der Abteilung Unit 42 von Palo Alto Networks als Operation MidnightEclipse identifiziert wurde, wird einem einzelnen, nicht identifizierten Bedrohungsakteur zugeschrieben.
Die Sicherheitslücke, bekannt als CVE-2024-3400 mit einem Schweregrad von 10,0, ermöglicht es nicht autorisierten Angreifern, beliebigen Code mit Root-Rechten auf betroffenen Firewalls auszuführen. Diese Sicherheitslücke betrifft insbesondere PAN-OS 10.2-, PAN-OS 11.0- und PAN-OS 11.1-Konfigurationen mit aktiviertem GlobalProtect-Gateway und Gerätetelemetrie.
Bei Operation MidnightEclipse wird dieser Fehler ausgenutzt, um eine wiederkehrende Aufgabe einzurichten, die Befehle von einem externen Server abruft und diese mithilfe der Bash-Shell ausführt. Die Angreifer verwalten eine Zugriffskontrollliste für den Befehls- und Kontrollserver sorgfältig, um den Zugriff nur auf das kommunizierende Gerät zu beschränken.
Python-Hintertür vermutlich Teil des Angriffs
Obwohl die genauen Befehle nicht bekannt gegeben wurden, wird vermutet, dass eine Python-basierte Hintertür, die von Volexity als UPSTYLE verfolgt wird, über eine URL bereitgestellt wird, die auf einem separaten Server gehostet wird. Diese Hintertür schreibt und führt bei der Ausführung ein weiteres Python-Skript aus, das für die Ausführung der Befehle des Angreifers verantwortlich ist. Die Ergebnisse werden in legitimen Firewall-Dateien protokolliert.
Ein bemerkenswerter Aspekt dieses Angriffs ist die Verwendung authentischer Firewall-Dateien zur Befehlsextraktion und zum Schreiben der Ergebnisse. Die Befehle werden über manipulierte Netzwerkanfragen an eine nicht vorhandene Webseite in das Fehlerprotokoll der Firewall geschrieben und lösen bestimmte Muster aus, die die Hintertür dann dekodiert und ausführt.
Um Spuren von Befehlsausgaben zu verbergen, wird eine Funktion namens „Restore“ aufgerufen, um die Datei bootstrap.min.css nach 15 Sekunden in ihren ursprünglichen Zustand zurückzusetzen und so Beweise für die Befehle zu löschen. Volexity hat beobachtet, wie der Bedrohungsakteur die Firewall ausnutzte, um eine Reverse Shell einzurichten, Tools herunterzuladen, in interne Netzwerke einzudringen und Daten zu exfiltrieren, wobei das Ausmaß der Kampagne unklar bleibt. Der Angreifer wird von Volexity als UTA0218 identifiziert.
