Vulnerabilidade CVE-2024-3400 depende de falha de injeção de comando
Os cibercriminosos têm aproveitado uma vulnerabilidade recentemente revelada no software PAN-OS da Palo Alto Networks desde 26 de março de 2024, quase três semanas antes de ser divulgada publicamente. Esta atividade, identificada pela divisão da Unidade 42 da Palo Alto Networks como Operação MidnightEclipse, é atribuída a um único ator de ameaça não identificado.
A falha de segurança, conhecida como CVE-2024-3400 com pontuação de gravidade de 10,0, permite que invasores não autorizados executem código arbitrário com privilégios de root nos firewalls afetados. Notavelmente, esta vulnerabilidade afeta as configurações PAN-OS 10.2, PAN-OS 11.0 e PAN-OS 11.1 com gateway GlobalProtect e telemetria de dispositivo habilitada.
A Operação MidnightEclipse envolve a exploração dessa falha para configurar uma tarefa recorrente que busca comandos de um servidor externo e os executa usando o shell bash. Os invasores gerenciam meticulosamente uma lista de controle de acesso para o servidor de comando e controle para restringir o acesso apenas ao dispositivo de comunicação.
Backdoor Python suspeito de fazer parte de um ataque
Embora os comandos específicos permaneçam não divulgados, suspeita-se que um backdoor baseado em Python, rastreado como UPSTYLE pela Volexity, seja entregue por meio de uma URL hospedada em um servidor separado. Esse backdoor, após a execução, escreve e executa outro script Python responsável por executar os comandos do invasor, com resultados registrados em arquivos de firewall legítimos.
Um aspecto notável deste ataque é o uso de arquivos de firewall autênticos para extração de comandos e gravação de resultados. Os comandos são gravados no log de erros do firewall por meio de solicitações de rede elaboradas para uma página da Web inexistente, acionando padrões específicos que o backdoor então decodifica e executa.
Para ocultar vestígios de saídas de comando, uma função chamada "restore" é invocada para reverter o arquivo bootstrap.min.css ao seu estado original após 15 segundos, apagando as evidências dos comandos. A Volexity observou o ator da ameaça explorando o firewall para estabelecer um shell reverso, baixar ferramentas, penetrar em redes internas e exfiltrar dados, embora a extensão da campanha permaneça incerta. O adversário é identificado como UTA0218 pela Volexity.
