Het beveiligingslek in CVE-2024-3400 hangt af van een fout in de opdrachtinjectie
Cyberaanvallers maken sinds 26 maart 2024 misbruik van een onlangs onthulde kwetsbaarheid in de PAN-OS-software van Palo Alto Networks, bijna drie weken voordat deze openbaar werd gemaakt. Deze activiteit, door de Unit 42-divisie van Palo Alto Networks geïdentificeerd als Operatie MidnightEclipse, wordt toegeschreven aan een enkele niet-geïdentificeerde bedreigingsacteur.
De beveiligingsfout, bekend als CVE-2024-3400 met een ernstscore van 10,0, stelt ongeautoriseerde aanvallers in staat willekeurige code met rootrechten uit te voeren op getroffen firewalls. Dit beveiligingslek treft met name PAN-OS 10.2-, PAN-OS 11.0- en PAN-OS 11.1-configuraties met GlobalProtect-gateway en apparaattelemetrie ingeschakeld.
Bij Operatie MidnightEclipse wordt gebruik gemaakt van deze fout om een terugkerende taak op te zetten die opdrachten van een externe server ophaalt en deze uitvoert met behulp van de bash-shell. De aanvallers beheren nauwgezet een toegangscontrolelijst voor de command-and-control-server om de toegang tot alleen het communicerende apparaat te beperken.
Python-backdoor verdacht als onderdeel van aanval
Hoewel de specifieke commando's niet openbaar worden gemaakt, wordt vermoed dat een op Python gebaseerde achterdeur, door Volexity bijgehouden als UPSTYLE, wordt geleverd via een URL die op een aparte server wordt gehost. Deze achterdeur schrijft en voert bij uitvoering een ander Python-script uit dat verantwoordelijk is voor het uitvoeren van de opdrachten van de aanvaller, waarbij de resultaten worden vastgelegd in legitieme firewallbestanden.
Een opmerkelijk aspect van deze aanval is het gebruik van authentieke firewallbestanden voor het extraheren van opdrachten en het schrijven van resultaten. De opdrachten worden naar het foutenlogboek van de firewall geschreven via bewerkte netwerkverzoeken naar een niet-bestaande webpagina, waardoor specifieke patronen worden geactiveerd die de achterdeur vervolgens decodeert en uitvoert.
Om sporen van commando-uitvoer te verbergen, wordt een functie genaamd "restore" aangeroepen om het bootstrap.min.css-bestand na 15 seconden terug te zetten naar de oorspronkelijke staat, waarbij het bewijs van de commando's wordt gewist. Volexity zag hoe de bedreigingsacteur de firewall uitbuitte om een reverse shell op te zetten, tools te downloaden, interne netwerken binnen te dringen en gegevens te exfiltreren, hoewel de omvang van de campagne onzeker blijft. De tegenstander wordt door Volexity geïdentificeerd als UTA0218.
