In den letzten Jahren haben es Hacker auf öffentlich zugängliche Netzwerkgeräte wie Router, VPN-Konzentratoren und Load Balancer abgesehen, um in Unternehmensnetzwerken Fuß zu fassen. Während es nicht ungewöhnlich ist, Schwachstellen für die Remotecodeausführung in solchen Geräten zu finden, sind Vorfälle, in denen Angreifer in der Lage sind, Malware auf diesen Geräten zu installieren, die Reboots oder Firmware-Upgrades überleben kann, selten und werden oft einer ausgeklügelten APT-Organisation zugeschrieben.
Da sie Flash-Speicher verwenden, der sich mit der Zeit verschlechtern kann, wenn er oft beschrieben wird, speichern eingebettete Netzwerkgeräte ihre Firmware oft in einem schreibgeschützten Dateisystem und laden dessen Inhalt bei jedem Neustart in den Arbeitsspeicher. Das bedeutet, dass alle Änderungen und Dateien, die von den verschiedenen laufenden Diensten während des normalen Betriebs des Geräts erzeugt werden, nur vorübergehend sind, da sie nur im RAM stattfinden und niemals im Dateisystem gespeichert werden, das bei einem Neustart des Geräts wieder in seinen ursprünglichen Zustand versetzt wird.
Ausnahmen sind Konfigurationsdateien und Skripte, die über die Geräteverwaltungsschnittstelle erstellt und in einem begrenzten Speicherbereich namens NVRAM (nichtflüchtiger Arbeitsspeicher) gespeichert werden. Aus der Sicht eines Angreifers erschwert diese Einschränkung die dauerhafte Kompromittierung von Netzwerkgeräten, weshalb bei groß angelegten Angriffen auf Heimrouter beispielsweise automatisierte Botnets zum Einsatz kommen, die den Router in regelmäßigen Abständen neu scannen und neu infizieren.
Bei einem gezielten Angriffsszenario auf ein Unternehmensnetz ziehen es Angreifer jedoch vor, unsichtbar zu bleiben, anstatt dasselbe Gerät mehrfach anzugreifen, um keine Erkennung auszulösen, die bei einer Veröffentlichung der Schwachstelle erfolgen könnte. Außerdem bevorzugen sie den langfristigen Zugriff auf solche Geräte und nutzen sie als Brücken in interne Netzwerke sowie als Dreh- und Angelpunkte, von denen aus sie sich seitlich bewegen und den Zugriff auf andere nicht öffentliche Geräte erweitern können.
Persistenzmöglichkeiten in Citrix, F5-Lastverteilern
Seit 2019 sind drei kritische Sicherheitslücken in Citrix- und F5-Load-Balancern aufgetaucht (CVE-2019-19781, CVE-2020-5
902 und CVE-2022-1388) wurden diese Schwachstellen öffentlich dokumentiert und in freier Wildbahn ausgenutzt, was zu Warnungen der U.S. Cybersecurity and Infrastructure Security Agency (CISA) und anderer Organisationen führte. Aus diesem Grund untersuchten Forscher des Sicherheitsunternehmens Eclypsium vor kurzem die Möglichkeiten für Angreifer, sich auf solchen Geräten zu halten. Ihre Ergebnisse wurden am Mittwoch in einem Bericht veröffentlicht.
Im Mai 2022 meldete das Sicherheitsunternehmen Mandiant, dass ein Cyberspionage-Bedrohungsakteur - damals als UNC3524 identifiziert, später jedoch mit der staatlichen russischen APT29 (Cozy Bear) in Verbindung gebracht - Unternehmensnetzwerke kompromittierte und durch den Einsatz einer Backdoor kompromittiert wurde. Das Eindringen blieb über einen längeren Zeitraum auf Netzwerkgeräten unentdeckt, einschließlich Load Balancern, die keine Erkennungstools wie Endpoint Detection and Response (EDR) unterstützten und auf denen ältere Versionen von CentOS und BSD liefen. Mandiant nannte zwar keine Namen dieser Geräte oder ihrer Hersteller, doch die Eclypsium-Forscher gehen davon aus, dass es sich um F5- und Citrix-Geräte handelt, da der F5-Load-Balancer unter CentOS und Citrix (früher Netscaler) unter FreeBSD läuft.
“Ein Merkmal von UNC3524 sticht hervor: Ihr TTP ist unzuverlässig, sie verwenden modifizierte Open-Source-Software, um ihre Hintertür zu bauen, und scheinen nur genug über das System zu wissen, um die grundlegendsten Ziele zu erreichen”, schreiben die Eclypsium-Forscher in ihrem Papier, sagte der Bericht. Bericht. “Ihre Implantate waren so unzuverlässig, dass sie Netzwerk-Shells nur zu dem Zweck installierten, sie nach ihrem Tod neu zu starten. Diese Eigenschaft war der Auslöser für diese Forschung, und die offene Frage lautete: Könnte man das auch mit einem Load Balancer machen? Mit einem C2-Framework von der Stange? Ist die Malware widerstandsfähig genug, um über Neustarts oder sogar Upgrades hinweg zu bestehen? Ist es möglich, ein Gerät so tief zu infizieren, dass eine saubere Löschung und Neuinstallation nicht ausreicht?”
Viele Angriffsgruppen verwenden geknackte Versionen kommerzieller Angriffs-Frameworks wie Cobalt Strike oder Brute Ratel, aber die Eclypsium-Forscher wollten etwas, das quelloffen ist und auch von weniger anspruchsvollen Angreifern leicht verwendet werden kann, und wählten daher Sliver, ein quelloffenes Adversary-Simulations-Framework für ihre Testimplantate. Sliver wurde in Go geschrieben, ist also plattformübergreifend und bietet Rotations- und Tunnelfunktionen.
Um zu untersuchen, welche Dateien der F5 Load Balancer bei Neustarts und Firmware-Upgrades beibehält, untersuchten die Forscher die über die Verwaltungsschnittstelle verfügbare Funktion zur Sicherung der Konfiguration, mit der ein Archiv mit allen Konfigurationen und Einstellungen erstellt werden kann, das später bei einer Neuinstallation übernommen werden kann. Bereitstellung. Aus einem Archiv mit Hunderten von Dateien wählten die Forscher drei ausführbare Skripte und Konfigurationsdateien aus, die bei bestimmten Ereignissen Skripte ausführen können.
“Ein unerwartetes Ergebnis dieser Studie war die Herstellerdokumentation; es stellte sich heraus, dass diese Geräte im Laufe der Jahre eine Fülle von Informationen über nicht dokumentierte Merkmale und Funktionen enthielten”, so die Forscher. “Dank des Herstellers wäre diese Untersuchung ohne die Dokumentation sehr viel schwieriger gewesen. Es ist wichtig zu verstehen, wie das Gerät mit seinen Konfigurationsdateien umgeht”.”
