受国家支持的黑客正积极利用Palo Alto Networks 防火墙零日漏洞
内容提要
自3月26日以来，疑似国家支持的黑客利用Palo Alto Networks防火墙的零日漏洞入侵企业网络，窃取数据和凭证。漏洞被追踪为CVE-2024-3400，补丁已发布。Volexity公司发现并报告了这一活动，认为这是受国家支持的攻击。攻击者利用漏洞部署了后门和其他有效载荷，窃取敏感文件和浏览器数据。Volexity提供了检测入侵的方法。
延伸解读
漏洞时间线与补丁情况
文章指出，攻击者自3月26日起利用CVE-2024-3400零日漏洞，但直到4月10日才部署有效载荷。Palo Alto Networks在漏洞被用于攻击后决定披露并发布缓解措施，补丁于4月14日发布。这意味着在补丁发布前，客户需依赖缓解措施保护设备，而攻击者已有近三周的时间窗口进行潜伏和利用。
攻击者的后门与数据窃取手法
攻击者部署了名为Upstyle的定制后门，专为PAN-OS设计，通过Python路径配置文件实现持久化，监控访问日志以执行base64命令。此外，还部署了反向Shell、GOST隧道工具，并窃取Windows敏感文件（如ntds.dit、DPAPI密钥）以及Chrome和Edge的登录数据、Cookie。这些手法表明攻击者旨在长期控制并获取高价值凭证。
检测入侵的可行方法
Volexity提供了检测方法：生成技术支持文件以获取取证日志，并监控网络活动，包括Direct-to-IP HTTP、源于GlobalProtect设备的SMB/RDP连接、包含浏览器数据的SMB文件传输，以及向worldtimeapi[.]org/api/timezone/etc/utc发送的HTTP请求。这些指标可帮助管理员发现潜在入侵，但其中一种检测方法仍在研究中，尚未公开。
Q&A
Palo Alto Networks防火墙的零日漏洞是什么？
该漏洞被追踪为CVE-2024-3400，自3月26日以来被黑客利用入侵企业网络。
黑客是如何利用这个漏洞的？
黑客通过部署后门和其他有效载荷，窃取敏感文件和凭证。
Volexity公司在这次事件中扮演了什么角色？
Volexity发现并报告了该漏洞的利用活动，并认为这是受国家支持的攻击。
如何检测Palo Alto Networks防火墙是否被入侵？
可以生成技术支持文件，分析取证工件，监控网络活动等方法来检测入侵。
补丁何时发布，如何保护设备？
补丁已于4月14日发布，用户应及时更新以保护设备。
攻击者窃取了哪些类型的数据？
攻击者窃取了敏感的Windows文件、浏览器数据、登录凭证和身份验证cookie。
