Уязвимость CVE-2024-3400 связана с ошибкой внедрения команд
Киберзлоумышленники воспользовались недавно обнаруженной уязвимостью в программном обеспечении PAN-OS Palo Alto Networks с 26 марта 2024 года, почти за три недели до того, как она была публично раскрыта. Эта деятельность, определенная подразделением 42 компании Palo Alto Networks как операция MidnightEclipse, приписывается одному неопознанному злоумышленнику.
Уязвимость безопасности, известная как CVE-2024-3400 со степенью серьезности 10,0, позволяет неавторизованным злоумышленникам запускать произвольный код с правами root на затронутых брандмауэрах. Примечательно, что эта уязвимость затрагивает конфигурации PAN-OS 10.2, PAN-OS 11.0 и PAN-OS 11.1 с включенным шлюзом GlobalProtect и телеметрией устройства.
Операция MidnightEclipse предполагает использование этой уязвимости для настройки повторяющейся задачи, которая получает команды с внешнего сервера и выполняет их с помощью оболочки bash. Злоумышленники тщательно управляют списком контроля доступа для сервера управления, чтобы ограничить доступ только к взаимодействующему устройству.
Бэкдор Python подозревается как часть атаки
Хотя конкретные команды остаются нераскрытыми, есть подозрение, что бэкдор на основе Python, отслеживаемый Volexity как UPSTYLE, доставляется через URL-адрес, размещенный на отдельном сервере. Этот бэкдор при запуске записывает и запускает другой скрипт Python, отвечающий за выполнение команд злоумышленника, а результаты сохраняются в законных файлах брандмауэра.
Примечательным аспектом этой атаки является использование подлинных файлов брандмауэра для извлечения команд и записи результатов. Команды записываются в журнал ошибок брандмауэра посредством созданных сетевых запросов к несуществующей веб-странице, запуская определенные шаблоны, которые затем бэкдор декодирует и выполняет.
Чтобы скрыть следы вывода команд, вызывается функция под названием «restore», которая возвращает файл bootstrap.min.css в исходное состояние через 15 секунд, стирая следы команд. Volexity наблюдала, как злоумышленник использовал брандмауэр для установки обратной оболочки, загрузки инструментов, проникновения во внутренние сети и кражи данных, хотя масштабы кампании остаются неопределенными. Противник идентифицирован компанией Volexity как UTA0218.
