CVE-2024-3400 Sårbarhet beror på kommandoinjektionsfel
Cyberangripare har utnyttjat en nyligen avslöjad sårbarhet i Palo Alto Networks PAN-OS-programvara sedan den 26 mars 2024, nästan tre veckor innan den offentliggjordes. Denna aktivitet, identifierad av Palo Alto Networks enhet 42 division som Operation Midnight Eclipse, tillskrivs en enda oidentifierad hotaktör.
Säkerhetsbristen, känd som CVE-2024-3400 med en allvarlighetsgrad på 10,0, tillåter obehöriga angripare att köra godtycklig kod med root-privilegier på berörda brandväggar. Denna sårbarhet påverkar särskilt PAN-OS 10.2, PAN-OS 11.0 och PAN-OS 11.1-konfigurationer med GlobalProtect-gateway och enhetstelemetri aktiverade.
Operation MidnightEclipse innebär att man utnyttjar denna brist för att ställa in en återkommande uppgift som hämtar kommandon från en extern server och exekverar dem med bash-skalet. Angriparna hanterar noggrant en åtkomstkontrolllista för kommando-och-kontrollservern för att begränsa åtkomsten endast till den kommunicerande enheten.
Python-bakdörr misstänks vara en del av attacken
Även om de specifika kommandona förblir oupptäckta, misstänks det att en Python-baserad bakdörr, spårad som UPSTYLE av Volexity, levereras via en URL som finns på en separat server. Denna bakdörr, vid körning, skriver och kör ett annat Python-skript som ansvarar för att utföra angriparens kommandon, med resultat inloggade i legitima brandväggsfiler.
En anmärkningsvärd aspekt av denna attack är användningen av autentiska brandväggsfiler för kommandoextraktion och resultatskrivning. Kommandona skrivs till brandväggens fellogg genom skapade nätverksbegäranden till en obefintlig webbsida, vilket utlöser specifika mönster som bakdörren sedan avkodar och exekverar.
För att dölja spår av kommandoutgångar anropas en funktion som kallas "återställning" för att återställa filen bootstrap.min.css till dess ursprungliga tillstånd efter 15 sekunder, vilket raderar bevis för kommandona. Volexity observerade att hotaktören utnyttjade brandväggen för att skapa ett omvänt skal, ladda ner verktyg, penetrera interna nätverk och exfiltrera data, även om omfattningen av kampanjen är fortfarande osäker. Motståndaren identifieras som UTA0218 av Volexity.
