• Security Incident?
  • +31 88 000 2000
  • +31 88 000 2020
  • support@access42.nl
Access42 logoAccess42 logoAccess42 logoAccess42 logo
  • HOME
  • DIENSTEN
    • CYBER DEFENSE CENTER
      • Prepare
      • Detect
      • Prevent
      • Respond
      • Predict
    • DIENSTEN
      • Incident Response
      • Penetratietest (Pentest)
      • Red Teaming aanval
      • Cyber Security Assessment (CSA)
    • MANAGED SERVICES / OPLOSSINGEN
      • CyberTIM
        • CyberTIM Protect
        • CyberTIM Aware
        • CyberTIM Detect voor Microsoft 365
        • Container Security CSI.2030
      • Nessus
      • Active Directory Security
      • Vulnerability Management
        • Vulnerability Management
        • Web App Scanning
        • OT Security
      • Managed Detectie & Response (MDR / XDR)
        • Endpoint Detection & Response (EDR)
        • Mobile Threat Defense
        • Klaar om de controle over Microsoft (Office) 365-beveiliging terug te nemen?
        • AI-powered netwerk detectie en response
        • API Security
      • Phishing & Triage
      • Thinkst Canary
      • E-Mail Security, Continuity & Archiving
        • E-mail Security 3.0
      • Brand Exploit Protect
      • Delinea – Privileged Access Management
      • Security Monitoring / SOC
  • ACCESS42
    • Over ons
      • ISO/IEC 27001 certificering
      • Disclaimer & Privacy Policy
      • Klachtenprocedure
    • Werken bij Access42
    • Partners
  • EVENTS
  • NIEUWS
  • CONTACT
    • Contact
    • Inschrijven Nieuwsbrief
    • Incident Response
            No results See all results
            BUY NESSUS
            ✕
                      No results See all results
                      • Home
                      • Nieuws
                      • Nieuws
                      • CVE-2020-1472: Geavanceerde Persistent Threat Actors gebruiken Zerologon kwetsbaarheid in Exploit Chain met niet gepatchte kwetsbaarheden.

                      CVE-2020-1472: Geavanceerde Persistent Threat Actors gebruiken Zerologon kwetsbaarheid in Exploit Chain met niet gepatchte kwetsbaarheden.

                      14 oktober 2020
                      Categories
                      • Nieuws
                      Tags
                      • APT
                      • chaining
                      • CISA
                      • FBI
                      • kwetsbaarheden
                      • nessus
                      • Tenable
                      • vulnerabilities

                      Bron: Tenable, CISA

                      Amerikaanse overheidsinstellingen geven gezamenlijk cybersecurityadvies uit en waarschuwen dat advanced threat groups kwetsbaarheden aan elkaar koppelen om toegang te krijgen tot overheidsnetwerken en om privileges te verhogen. Vanuit het Nederlandse NCSC is dit advies (nog) niet overgenomen.

                      Achtergrond

                      Op 9 oktober publiceerde het CISA (Cybersecurity Infrastructure Security Agency) en het FBI (Federal Bureau of Investigation) een gezamenlijk cybersecurityadvies. Het advies, geïdentificeerd als Alert AA20-283A, geeft inzicht in de activiteit van Advanced Persistent Threats (APT) tegen netwerken die verbonden zijn met federale en staats-, lokale, tribale en territoriale (SLTT) overheden. Het alarm geeft aan hoe APT-actoren gebruik maken van de mogelijkheid om hun kwetsbaarheid te chainen (aan elkaar te koppelen) of te misbruiken, waarbij ze een recentelijk bekendgemaakte “elevation of privileges” kwetsbaarheid in hun aanvallen meenemen.

                      Hieronder volgt een lijst van kwetsbaarheden waarnaar wordt verwezen in het gezamenlijke CISA/FBI cybersecurity alarm:

                      CVEVendor/ProductCVSSv3Tenable VPR*Disclosed
                      CVE-2019-11510Pulse Connect Secure SSL VPN10.010.0Apr 2019
                      CVE-2018-13379Fortinet FortiOS SSL VPN9.89.8May 2019
                      CVE-2019-19781Citrix Netscaler9.89.9Dec 2019
                      CVE-2020-1631Juniper Junos OS9.86.7Apr 2020
                      CVE-2020-2021Palo Alto Networks PAN-OS10.010.0Jun 2020
                      CVE-2020-5902F5 BIG-IP9.89.9Jul 2020
                      CVE-2020-15505MobileIron9.89.5Jul 2020
                      CVE-2020-1472Microsoft Netlogon10.010.0Aug 2020
                      Let op: de dynamische VPR-scores worden ’s nachts berekend. Deze blogpost werd gepubliceerd op 14 oktober en weerspiegelt de VPR op dat moment.

                      Analyse

                      Initiële toegang verkregen via SSL VPN kwetsbaarheid

                      Volgens het CISA/FBI-alarm maken de APT-actoren “overwegend” gebruik van CVE-2018-13379 om een eerste toegang te krijgen tot doelomgevingen.

                      CVE-2018-13379 is een path traversal vulnerability in Fortinet’s FortiOS Secure Socket Layer (SSL) virtual private network (VPN) oplossing. Het is in april 2019 door Fortinet gepatcht. Pas nadat in augustus 2019 de details van de exploitatie openbaar waren gemaakt, kwamen er meldingen binnen van aanvallers die de oplossing in het wild exploiteerden.

                      Naast de kwetsbaarheid van Fortinet die wordt gebruikt om initiële toegang te krijgen, hebben CISA/FBI ook “in mindere mate” APT-actoren waargenomen die gebruik maken van CVE-2020-15505, een kwetsbaarheid voor “remote code execution” in MobileIron’s Core en Connector.

                      Post-exploitatie elevation of privilege met behulp van Zerologon

                      Zodra de APT actoren een eerste voet aan de grond hebben gekregen in hun doelomgeving, verhogen ze de privileges met behulp van CVE-2020-1472, een kritische elevation of privileges kwetsbaarheid in Microsoft’s Netlogon. Zerologon is berucht geworden nadat het in eerste instantie werd gepatcht in Microsoft’s Patch Tuesday release van augustus.

                      Op 18 september gaf de CISA Emergency Directive 20-04 uit in een poging om ervoor te zorgen dat de systemen van de “Federal Civilian Executive Branch” werden gepatcht tegen de kwetsbaarheid.

                      Zerologon waargenomen als onderdeel van aanvallen in het wild

                      Op 23 september twitterde het Security Intelligence team van Microsoft dat ze hadden waargenomen dat de Zerologon-exploitaties opgenomen worden als “incorporated into attacker playbooks” binnen de activiteit van de aanvaller.

                      Microsoft is actively tracking threat actor activity using exploits for the CVE-2020-1472 Netlogon EoP vulnerability, dubbed Zerologon. We have observed attacks where public exploits have been incorporated into attacker playbooks.

                      — Microsoft Security Intelligence (@MsftSecIntel) September 24, 2020

                      In een vervolgtweet op 6 oktober noteerde het Security Intelligence team van Microsoft een nieuwe campagne die gebruik maakt van CVE-2020-1472, afkomstig van een bedreigingsactor die bekend staat als CHIMBORAZO, ook wel bekend als TA505, een financieel gemotiveerde nation-state actor.

                      We’re seeing more activity leveraging the CVE-2020-1472 exploit (ZeroLogon). A new campaign shrewdly poses as software updates that connect to known CHIMBORAZO (TA505) C2 infrastructure. The fake updates lead to UAC bypass and use of wscript.exe to run malicious scripts.

                      — Microsoft Security Intelligence (@MsftSecIntel) October 6, 2020

                      CISA/FBI waarschuwen voor extra kwetsbaarheden die gebruikt worden voor eerste toegang.

                      Naast de in recente campagnes geïdentificeerde kwetsbaarheden van Fortinet en MobileIron waarschuwt het CISA/FBI-alarm ook dat deze APT-dreigingsactoren ook een van de volgende kwetsbaarheden kunnen gebruiken om toegang te krijgen tot hun doelwitnetwerken:

                      • CVE-2019-11510 is an arbitrary file disclosure vulnerability in Pulse Connect Secure SSL VPN
                      • CVE-2019-19781 is a path traversal vulnerability in Citrix Application Delivery Controller (ADC), Citrix Gateway and Citrix SD-WAN WANOP appliances
                      • CVE-2020-1631 is a local file inclusion (LFI) vulnerability in Juniper’s Junos OS HTTP/HTTPS service
                      • CVE-2020-2021 is an authentication bypass vulnerability in the Security Assertion Markup Language (SAML) authentication in PAN-OS when certain prerequisites are met
                      • CVE-2020-5902 is a path traversal vulnerability in the traffic management user interface (TMUI) in F5’s BIG-IP application delivery service.

                      Blijvende en terugkerende kwetsbaarheden blijven populair onder dreigingsactoren

                      Veel van de kwetsbaarheden die in deze gezamenlijke waarschuwing van de CISA/FBI worden genoemd, zijn voor de bedreigende actoren terugkerende en blijvende kwetsbaarheden geworden. Als onderdeel van CISA’s Top 10 Routinely Exploited Vulnerabilities alert verwijzen ze naar zowel de Pulse Secure als Citrix ADC kwetsbaarheden.

                      In september heeft CISA twee afzonderlijke waarschuwingen (AA20-258A, AA20-259A) afgegeven die aangeven hoe APT-actoren uit China en Iran zich richten op niet gepachte kwetsbaarheden in Pulse Connect Secure, Citrix ADC en F5’s BIG-IP.

                      Amerikaanse verkiezingsondersteunende systemen zijn toegankelijk, maar de integriteit van de verkiezingsgegevens is intact.

                      In Alert AA20-283A vermeldt de CISA dat zij activiteiten hebben waargenomen die “hebben geleid tot ongeoorloofde toegang tot systemen ter ondersteuning van de verkiezingen”. Ze vermelden echter ook dat ze, ondanks deze ongeoorloofde toegang, geen bewijs hebben dat de “integriteit van de verkiezingsgegevens in gevaar is gebracht.”

                      Zerologon moet onmiddellijk worden gepatcht.

                      Met de laatste waarschuwing van CISA en de FBI, in combinatie met de rapportage van andere leveranciers, lijkt het duidelijk dat Zerologon een van de meest kritieke kwetsbaarheden van 2020 aan het worden is.

                      Proof of Concept

                      Een aantal proofs-of-concept (PoC) en exploit-scripts werden kort na het openbaar maken van deze kwetsbaarheden beschikbaar gesteld. Het volgende is een deelverzameling van enkele PoC’s en exploit scripts:

                      CVESource URL
                      CVE-2018-13379GitHub
                      CVE-2018-13379GitHub
                      CVE-2018-13379GitHub
                      CVE-2019-11510GitHub
                      CVE-2019-11510GitHub
                      CVE-2019-11510GitHub
                      CVE-2019-19781GitHub
                      CVE-2019-19781GitHub
                      CVE-2019-19781GitHub
                      CVE-2020-5902GitHub
                      CVE-2020-5902GitHub
                      CVE-2020-5902GitHub
                      CVE-2020-15505GitHub
                      CVE-2020-1472GitHub
                      CVE-2020-1472GitHub
                      CVE-2020-1472GitHub

                      Oplossing

                      Er zijn patches beschikbaar voor alle kwetsbaarheden die worden genoemd in het gezamenlijke cybersecurityadvies van CISA en de FBI. Voor de meeste kwetsbaarheden waren patches beschikbaar na openbaarmaking, met uitzondering van CVE-2019-19781, dat een maand na openbaarmaking patches kreeg.

                      Zie de individuele adviezen hieronder voor meer informatie.

                      CVEPatch Information
                      CVE-2019-11510SA44101 – 2019-04: Out-of-Cycle Advisory: Multiple vulnerabilities resolved in Pulse Connect Secure / Pulse Policy Secure 9.0RX
                      CVE-2018-13379FG-IR-18-384: FortiOS system file leak through SSL VPN via specially crafted HTTP resource requests
                      CVE-2019-19781Vulnerability in Citrix Application Delivery Controller, Citrix Gateway, and Citrix SD-WAN WANOP appliance
                      CVE-2020-16312020-04 Out of Cycle Security Advisory: Junos OS: Security vulnerability in J-Web and web based (HTTP/HTTPS) services
                      CVE-2020-2021PAN-OS: Authentication Bypass in SAML Authentication
                      CVE-2020-5902K52145254: TMUI RCE vulnerability CVE-2020-5902
                      CVE-2020-15505July 2020: MobileIron Security Updates Available
                      CVE-2020-1472Netlogon Elevation of Privilege Vulnerability

                      Indentificeren kwetsbare systemen

                      Een lijst met Tenable plugins om deze kwetsbaarheden te identificeren is hier te vinden:

                      • CVE-2019-11510
                      • CVE-2018-13379
                      • CVE-2019-19781
                      • CVE-2020-1631
                      • CVE-2020-2021
                      • CVE-2020-5902
                      • CVE-2020-15505
                      • CVE-2020-1472
                      • All CVEs combined

                      Tenable.io, Tenable.sc en Nessus gebruikers kunnen een nieuw scan template gebruiken dat gericht is op Zerologon. Plugin 140657 en de afhankelijkheden daarvan worden automatisch ingeschakeld binnen de template, en het wordt ook automatisch geleverd met de vereiste instellingen geconfigureerd.

                      Meer informatie

                      • Access42 Blog over CVE-2020-1472
                      • CISA/FBI Alert: APT Actors Chaining Vulnerabilities
                      • CISA Top 10 Routinely Exploited Vulnerabilities
                      • Tenable Blog for CISA Alerts AA20-258A, AA20-259A
                      • Tenable Blog for CVE-2019-11510
                      • Tenable Blog for CVE-2018-13379 and CVE-2019-11510 Exploited in the Wild
                      • Tenable Blog for CVE-2019-11510 Used in Ransomware Attacks
                      • Tenable Blog for CVE-2019-19781
                      • Tenable Blog for CVE-2019-19781 Exploit Scripts
                      • Tenable Blog for CVE-2019-19781 Exploited in the Wild
                      • Tenable Blog for CVE-2020-2021
                      • Tenable Blog for CVE-2020-5902
                      • Tenable Blog for CVE-2020-1472
                      Delen
                      2

                      Related posts

                      20 maart 2023

                      Patch Tuesday van maart 2023 (2023-23397, Microsoft Outlook EoP)


                      Read more
                      9 maart 2023

                      De uitdagingen van multi-Cloud compliance


                      Read more
                      20 februari 2023

                      Microsoft heeft last van een niet-werkend spam filter


                      Read more
                      CVE-2020-1472: Geavanceerde Persistent Threat Actors gebruiken Zerologon kwetsbaarheid in Exploit Chain met niet gepatchte kwetsbaarheden.
                      CVE-2020-1472: Geavanceerde Persistent Threat Actors gebruiken Zerologon kwetsbaarheid in Exploit Chain met niet gepatchte kwetsbaarheden.

                      CVE-2020-1472: Geavanceerde Persistent Threat Actors gebruiken Zerologon kwetsbaarheid in Exploit Chain met niet gepatchte kwetsbaarheden.

                      Access42 B.V.
                      Leusderend 38
                      3832RC LEUSDEN

                      CyberDefense Center
                      • Prepare
                      • Detect
                      • Prevent
                      • Respond
                      • Predict
                      Diensten
                      • Phishing as a Service
                      • Penetratietesten
                      • Red Teaming
                      • Nessus
                      • Container Security
                      • OT Security
                      • Vulnerability Management
                      • AI-powered network detection and response
                      • E-mail security
                      • Alle Diensten
                      Over ons
                      • Over Access42
                      • Kernwaarden
                      • Missie en Visie
                      • Werken bij Access42
                      • Partners
                      • Disclaimer en Privacy Policy
                      • Responsible Disclosure
                      Get in touch

                      © 2023 Access42 | Cybersecurity. All Rights Reserved.
                      We use cookies on our website to give you the most relevant experience by remembering your preferences and repeat visits. By clicking “Accept All”, you consent to the use of ALL the cookies. However, you may visit "Cookie Settings" to provide a controlled consent.
                      Cookie SettingsAccept All
                      Manage consent

                      Privacy Overview

                      This website uses cookies to improve your experience while you navigate through the website. Out of these, the cookies that are categorized as necessary are stored on your browser as they are essential for the working of basic functionalities of the website. We also use third-party cookies that help us analyze and understand how you use this website. These cookies will be stored in your browser only with your consent. You also have the option to opt-out of these cookies. But opting out of some of these cookies may affect your browsing experience.
                      Necessary
                      Always Enabled
                      Necessary cookies are absolutely essential for the website to function properly. These cookies ensure basic functionalities and security features of the website, anonymously.
                      CookieDurationDescription
                      _GRECAPTCHA5 months 27 daysThis cookie is set by Google. In addition to certain standard Google cookies, reCAPTCHA sets a necessary cookie (_GRECAPTCHA) when executed for the purpose of providing its risk analysis.
                      cookielawinfo-checkbox-advertisement1 yearThe cookie is set by GDPR cookie consent to record the user consent for the cookies in the category "Advertisement".
                      cookielawinfo-checkbox-analytics11 monthsThis cookie is set by GDPR Cookie Consent plugin. The cookie is used to store the user consent for the cookies in the category "Analytics".
                      cookielawinfo-checkbox-functional11 monthsThe cookie is set by GDPR cookie consent to record the user consent for the cookies in the category "Functional".
                      cookielawinfo-checkbox-necessary11 monthsThis cookie is set by GDPR Cookie Consent plugin. The cookies is used to store the user consent for the cookies in the category "Necessary".
                      cookielawinfo-checkbox-others11 monthsThis cookie is set by GDPR Cookie Consent plugin. The cookie is used to store the user consent for the cookies in the category "Other.
                      cookielawinfo-checkbox-performance11 monthsThis cookie is set by GDPR Cookie Consent plugin. The cookie is used to store the user consent for the cookies in the category "Performance".
                      CookieLawInfoConsent1 yearRecords the default button state of the corresponding category & the status of CCPA. It works only in coordination with the primary cookie.
                      viewed_cookie_policy11 monthsThe cookie is set by the GDPR Cookie Consent plugin and is used to store whether or not user has consented to the use of cookies. It does not store any personal data.
                      Functional
                      Functional cookies help to perform certain functionalities like sharing the content of the website on social media platforms, collect feedbacks, and other third-party features.
                      CookieDurationDescription
                      bcookie2 yearsThis cookie is set by linkedIn. The purpose of the cookie is to enable LinkedIn functionalities on the page.
                      langsessionThis cookie is used to store the language preferences of a user to serve up content in that stored language the next time user visit the website.
                      lidc1 dayThis cookie is set by LinkedIn and used for routing.
                      Performance
                      Performance cookies are used to understand and analyze the key performance indexes of the website which helps in delivering a better user experience for the visitors.
                      CookieDurationDescription
                      YSCsessionThis cookies is set by Youtube and is used to track the views of embedded videos.
                      Analytics
                      Analytical cookies are used to understand how visitors interact with the website. These cookies help provide information on metrics the number of visitors, bounce rate, traffic source, etc.
                      CookieDurationDescription
                      _ga2 yearsThis cookie is installed by Google Analytics. The cookie is used to calculate visitor, session, campaign data and keep track of site usage for the site's analytics report. The cookies store information anonymously and assign a randomly generated number to identify unique visitors.
                      _gat_gtag_UA_116473530_11 minuteThis cookie is set by Google and is used to distinguish users.
                      _gat_UA-116473530-11 minuteThis is a pattern type cookie set by Google Analytics, where the pattern element on the name contains the unique identity number of the account or website it relates to. It appears to be a variation of the _gat cookie which is used to limit the amount of data recorded by Google on high traffic volume websites.
                      _gid1 dayThis cookie is installed by Google Analytics. The cookie is used to store information of how visitors use a website and helps in creating an analytics report of how the website is doing. The data collected including the number visitors, the source where they have come from, and the pages visted in an anonymous form.
                      Advertisement
                      Advertisement cookies are used to provide visitors with relevant ads and marketing campaigns. These cookies track visitors across websites and collect information to provide customized ads.
                      CookieDurationDescription
                      bscookie2 yearsThis cookie is a browser ID cookie set by Linked share Buttons and ad tags.
                      IDE1 year 24 daysUsed by Google DoubleClick and stores information about how the user uses the website and any other advertisement before visiting the website. This is used to present users with ads that are relevant to them according to the user profile.
                      prism_4768097571 monthUsed by ActiveCampaign to track usage of newsletters
                      test_cookie15 minutesThis cookie is set by doubleclick.net. The purpose of the cookie is to determine if the user's browser supports cookies.
                      VISITOR_INFO1_LIVE5 months 27 daysThis cookie is set by Youtube. Used to track the information of the embedded YouTube videos on a website.
                      yt-remote-connected-devicesneverYouTube sets this cookie to store the video preferences of the user using embedded YouTube video.
                      yt-remote-device-idneverYouTube sets this cookie to store the video preferences of the user using embedded YouTube video.
                      Others
                      Other uncategorized cookies are those that are being analyzed and have not been classified into a category as yet.
                      CookieDurationDescription
                      AnalyticsSyncHistory1 monthNo description
                      CONSENT16 years 7 months 5 days 13 hoursNo description
                      li_gc2 yearsNo description
                      UserMatchHistory1 monthLinkedin - Used to track visitors on multiple websites, in order to present relevant advertisement based on the visitor's preferences.
                      SAVE & ACCEPT
                      Powered by CookieYes Logo
                      Aanvraag CyberTIM Detect voor Microsoft 365 Trial

                        Download de gratis whitepaper!

                         

                          Inschrijven Webinar Vectra

                            Inschrijving Webinar Cofense

                              Inschrijven Webinar CrowdStrike

                                Start de Mimecast Service vandaag nog!

                                  Start met de Cognito Detect for Microsoft 365 Free Service

                                    Download de Tenable.OT Solution Brief

                                    Name *

                                    Email *


                                    Prijslijst aanvragen

                                     

                                      Meer weten over onze diensten?