Exploit for ioc-scanner

## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-CITRIX-IOC-SCANNER-CVE-2019-19781
# Индикатор компрометации для CVE-2019-19781

Этот репозиторий содержит утилиту для обнаружения компрометации Citrix ADC Appliances, связанной с CVE-2019-19781. Утилита и её ресурсы содержат индикаторы компрометации, собранные в ходе расследований FireEye Mandiant. Чтобы узнать больше, пожалуйста, прочитайте блог, анонсирующий выпуск этого инструмента.

Вкратце, утилита будет:

  * прилагать максимальные усилия для выявления существующей компрометации.



Она _не_ будет:

  * выявлять компрометацию в 100% случаев, или
  * сообщать вам, уязвимо ли устройство для эксплуатации.



Благодаря отзывам сообщества инструмент может стать более тщательным в своём обнаружении. Пожалуйста, откройте вопрос (issue), отправьте pull request, или свяжитесь с авторами, если у вас есть проблемы, идеи или отзывы.

#### Загрузите автономный инструмент со вкладки Releases этого репозитория.

## Возможности

Этот сканер может выявлять:

  * записи журналов веб-сервера, указывающие на успешную эксплуатацию
  * пути файловой системы известного вредоносного ПО
  * действия после эксплуатации в истории команд оболочки
  * известные вредоносные термины в каталогах NetScaler
  * непредвиденные изменения каталогов NetScaler
  * непредвиденные записи crontab
  * непредвиденные процессы
  * порты, используемые известным вредоносным ПО



## Подробности

Сканер индикаторов компрометации (IoC) для CVE-2019-19781 был совместно разработан FireEye Mandiant и Citrix на основе знаний, полученных в ходе реагирования на инциденты, связанные с эксплуатацией CVE-2019-19781. Цель сканера — проанализировать доступные источники журналов и системные криминалистические артефакты для выявления доказательств успешной эксплуатации CVE-2019-19781. Существуют ограничения в том, чего сможет достичь инструмент, и поэтому выполнение инструмента не следует рассматривать как гарантию того, что система свободна от компрометации. Например, файлы журналов на системе с доказательствами компрометации могут быть усечены/перезаписаны, система могла быть перезагружена, злоумышленник мог вмешаться в систему, чтобы удалить доказательства компрометации, и/или установить руткит, который маскирует доказательства компрометации и т.д.

Результат работы этого инструмента относится к одной из трёх категорий:

  1. Доказательства компрометации. Это значение по умолчанию. Любые доказательства, попадающие в эту категорию, указывают на то, что устройство было успешно скомпрометировано. Это может быть что угодно: от выполнения команд, раскрывающих информацию (например, просмотр файлов конфигурации `ns.conf` или `smb.conf`), до установки бэкдора (например, NOTROBIN, майнера и т.д.), или размещения веб-оболочки на Perl.

  2. Доказательства успешного сканирования уязвимости (это может быть авторизованный системный администратор или неавторизованный злоумышленник). Любые доказательства, попадающие в эту категорию, указывают на то, что система находилась в уязвимом состоянии (например, смягчающие меры не были применены) и что по крайней мере первый шаг по эксплуатации CVE-2019-19781 был успешным.

  3. Доказательства неудачного сканирования уязвимости. Любые доказательства, попадающие в эту категорию, указывают на то, что попытки сканировать или эксплуатировать систему не удались.




Этот инструмент не гарантирует обнаружение всех доказательств компрометации или всех доказательств компрометации, связанных с CVE-2019-19781. Если на системах выявлены признаки компрометации, организациям следует провести криминалистическое исследование скомпрометированной системы, чтобы определить масштаб и степень инцидента. Этот инструмент предоставляется КАК ЕСТЬ и без каких-либо гарантий.

## Использование

Вам следует загрузить автономный Bash-скрипт со вкладки Releases этого репозитория. Копирование исходного каталога на Citrix ADC Appliance возможно, но не рекомендуется.

Сканер IoC можно запускать непосредственно на Citrix ADC Appliance. В этом режиме инструмент проверяет файлы, процессы и порты на наличие известных индикаторов. Инструмент записывает диагностические сообщения в поток STDERR, а результаты — в поток STDOUT. При типичном использовании вам следует перенаправить STDOUT в файл для просмотра. В «живом» режиме на Citrix ADC Appliance инструмент должен запускаться от имени `root`.

Например:

root@kitploit:~
    
    
    $ sudo bash ./ioc-scanner-CVE-2019-19781-v1.1.sh > "/tmp/results-$(date).txt"
    

Инструмент предназначен для использования со следующими продуктами:

  * Citrix ADC и Citrix Gateway версии 13.0
  * Citrix ADC и Citrix Gateway версии 12.1
  * Citrix ADC и Citrix Gateway версии 12.0
  * Citrix ADC и Citrix Gateway версии 11.1
  * Citrix ADC и Citrix Gateway версии 10.5
  * программное обеспечение Citrix SD-WAN WANOP и аппаратные модели 4000, 4100, 5000 и 5100



Сканер IoC также может проверять смонтированный криминалистический образ. В этом сценарии передайте аргумент командной строки, указывающий путь к корневому каталогу образа. Для работы в автономном режиме не обязательно быть root.

Например:

root@kitploit:~
    
    
    $ bash ./ioc-scanner-CVE-2019-19781-v1.1.sh /mnt/path/to/evidence/root/
    

В обоих режимах инструмент извлечёт вспомогательный код во временный каталог; этот каталог будет удалён после завершения работы скрипта. Инструмент не вносит других изменений в систему, хотя может привести к генерации записей в журналах.

Как и при любом криминалистическом анализе, предпочтительнее автономный анализ образа, созданного с помощью `dd`, а не «живой» ответ. Это устранит вероятность того, что инструмент приведёт к перезаписи соответствующих доказательств.

Пожалуйста, ознакомьтесь с Часто задаваемыми вопросами для получения дополнительных сведений.

## Участие в разработке

Если вы придумаете дополнительные способы выявления компрометации, пожалуйста, рассмотрите возможность внесения вклада в этот сканер IoC. Мы хотели бы предоставить максимально тщательный и корректный сканер.

Основная цель — сообщать об индикаторах компрометации с высокой степенью уверенности. Поскольку пользователи могут полагаться на результаты этого инструмента для начала дальнейшего расследования, важно не отправлять их по ложному следу. Поэтому такие действия, как простое сканирование, не должны сообщаться в режиме по умолчанию. Любые доказательства того, что субъект получил доступ к системе, извлёк информацию или создал контент, должны всегда сообщаться.

### Дизайн

Мы предоставляем этот инструмент в виде Bash-скрипта, поскольку это общий знаменатель для всех Citrix ADC Appliances. Вот матрица возможностей для выпусков Citrix ADC:

Хотя мы видели вредоносное ПО, использующее Go для атак на FreeBSD/NetScaler, Go не поддерживает FreeBSD 6.x.

### Тестирование

Мы поддерживаем разреженные образы файловых систем, содержащие доказательства компрометации, в каталоге `./tests/`. Когда вы добавляете в этот инструмент новые IoC, например известные пути или содержимое из чёрного списка, пожалуйста, предоставьте примеры доказательств для тестирования.

Вы можете запустить модульные тесты в системе Linux или macOS следующим образом:

root@kitploit:~
    
    
    $ bash ./tests/test.sh
    runnning test:  access-logs
    runnning test:    xml-template
    runnning test:  crontab
    runnning test:    var-cron-tabs-nobody
    runnning test:  error-logs
    runnning test:  file-system
    runnning test:    netscalerd
    runnning test:    notrobin-tmp-init
    runnning test:    notrobin-var-nstmp-nscache
    runnning test:  ns-content
    runnning test:    chr-encoded-template
    runnning test:    copied-ns-conf
    runnning test:    curl-in-template
    runnning test:    perms
    runnning test:    var-tmp-netscaler-portal-templates
    runnning test:    var-vpn-bookmark
    runnning test:    webshell-in-scripts
    runnning test:  shell-history
    runnning test:    bash_log
    runnning test:    notice_log
    

### Сборка

После того как вы проверили исходный репозиторий, вы можете собрать автономный скрипт с помощью инструмента `./build.sh`. Он упаковывает основной скрипт и вспомогательные ресурсы в единый пакет. При выполнении он распакуется во временный каталог, выполнится оттуда, а затем выполнит очистку.

Для сборки:

root@kitploit:~
    
    
    $ bash ./build.sh > ioc-scanner-CVE-2019-19781-rev$(git rev-parse HEAD | cut -c 1-8).sh
    

## Дополнительное чтение

Для получения дополнительной информации от FireEye о CVE-2019-19781 и реальной эксплуатации, пожалуйста, ознакомьтесь с:

  * Rough Patch: I Promise It'll Be 200 OK (Citrix ADC CVE-2019-19781) — опубликовано 14 января 2020 г.
  * 404 Exploit Not Found: Vigilante Deploying Mitigation for Citrix NetScaler Vulnerability While Maintaining Backdoor — опубликовано 16 января 2020 г.



Реагирование на CVE-2019-19781 стало значительным усилием всего сообщества специалистов по безопасности, и в этих блогах широко цитируются дополнительные материалы, которые будут полезны пользователям этого инструмента. Мы рекомендуем прочитать связанные материалы из этих публикаций, чтобы лучше понять активность в вашей среде. Как всегда, команда FireEye Mandiant готова ответить на дополнительные вопросы или оказать дальнейшую помощь в расследовании — свяжитесь с нами здесь.