Cyberdefenders OpenWire Walkthrough

 

Cyberdefenders.org

Escenario:

Durante su turno como analista de SOC de nivel 2, recibe una derivación de un analista de nivel 1 con respecto a un servidor público. Este servidor ha sido marcado por realizar conexiones salientes a múltiples IP sospechosas. En respuesta, usted inicia el protocolo estándar de respuesta a incidentes, que incluye aislar el servidor de la red para evitar posibles movimientos laterales o exfiltración de datos y obtener una captura de paquetes de la utilidad NSM para su análisis. Su tarea es analizar el pcap y evaluar si hay signos de actividad maliciosa.

Preguntas

1.- Al identificar la IP C2, podemos bloquear el tráfico hacia y desde esta IP, lo que ayuda a contener la infracción y evitar una mayor filtración de datos o ejecución de comandos. ¿Puede proporcionar la IP del servidor C2 que se comunicó con nuestro servidor?

Para identificar la dirección IP del servidor C2, utilize la herramienta Brim Security y el filtro "Suricata Alert by Source and Destination"

Como se muestra en la imagen los filtros de Suricata emitió una alerta proveniente entre la comunicación 134.209.197.3 y xxx.xxx.xx.92. Además, al consultar la dirección IP xxx.xxx.xx.92 esta aparece en lista negra (Black List).

2.- Los puntos de entrada iniciales son fundamentales para rastrear el vector de ataque. ¿Cuál es el número de puerto del servicio que explotó el adversario?

Al analizar la captura de datos red con la herramienta NetworkMiner el host con dirección IP 134.209.197.3, aloja un servicio web basado en el lenguaje de programación Java.

También analizando la captura con Wireshark se puedo observar el protocolo OpenWire, este es un protocolo de comunicación utilizado por la aplicación Apache ActiveMQ.

Realizando una búsqueda en la documentación Apache MQ en base a la evidencia expuesta en la imagen anterior, encontré el puerto por defecto donde escucha las conexiones de Active MQ.

3.- Siguiendo con la pregunta anterior, ¿cómo se llama el servicio que se encuentra vulnerable?

El nombre del servicio que se encuentra vulnerable es A***** *******Q.

4.- La infraestructura del atacante suele incluir varios componentes. ¿Cuál es la IP del segundo servidor C2?

Con la herramienta Wireshak utilice la funcionalidad "Export Objects" (File->Export Objects->HTTP) para analizar los objetos HTTP que se transmiten en la captura.

Como se muestra en la imagen anterior se transmitió un archivo llamado docker, entonces, los extraeré y lo analizaré.

Como se muestra en la imagen el archivo es un ejecutable para Linux. Ahora calcularé su hashsum y lo analizare con la herramienta VirusTotal.

Cálculo sha1sum del archivo docker

Consulta sha1sum en VirusTotal

 

Resultado VirusTotal

Como se muestra en la imagen anterior de 61 antivirus 32 de ellos lo detectaron como un archivo malicioso. Por lo tanto, podemos afirmar que el segundo servidor C2 tiene la IP xxx.xxx.xx.72.

5.- Los atacantes suelen dejar rastros en el disco. ¿Cuál es el nombre del ejecutable del shell inverso que se coloca en el servidor?

Como se muestra en la siguiente imagen existe un archivo llamado invoice.xml que se transmitió.

Lo que haré es extraer este archivo y analizarlo.

6.- ¿Qué clase de Java invocó el archivo XML para ejecutar el exploit?

En el archivo invoice.xml en la línea número 6 se encuentra la respuesta a esta pregunta.

7.- Para comprender mejor la falla de seguridad específica explotada, ¿puede identificar el identificador CVE asociado con esta vulnerabilidad?

CVE (Common Vulnerabilities and Exposures) Es un sistema de categorización pública que identifica y enumera las vulnerabilidades de seguridad conocidas en producto de software y hardware. Algunas fuentes de información CVE son: 

1. https://nvd.nist.gov/vuln/search
2. https://cve.mitre.org/cve/search_cve_list.html

Para responder a esta pregunta yo utilice la fuente de información NVD como se muestra en la siguiente image.

8.- ¿Cuál es el método y la clase de Java vulnerables que permiten a un atacante ejecutar código arbitrario? (Formato: Clase.Método).

La respuesta de esta pregunta no se encuentra en el artefacto forense entregado en el desafío (El archivo .pcap), más bien se necesita realizar un análisis de código fuente (source code) de la versión vulnerable de la aplicación ActiveMQ versión > 5.8.0. La fuente de información que utilice para responder esta pregunta es:

1. https://paper.seebug.org/3058/
2. https://www.rapid7.com/blog/post/2023/11/01/etr-suspected-exploitation-of-apache-activemq-cve-2023-46604/

En mi caso estuve varias horas analizando las páginas anteriores, para encontrar la respuesta. Según mi criterio creo que para esta pregunta se necesita tener conocimientos básicos del lenguaje de programación Java.

Happy Hack!!!