Op 9 oktober publiceerde het CISA (Cybersecurity Infrastructure Security Agency) en het FBI (Federal Bureau of Investigation) een gezamenlijk cybersecurityadvies. Het advies, geïdentificeerd als Alert AA20-283A, geeft inzicht in de activiteit van Advanced Persistent Threats (APT) tegen netwerken die verbonden zijn met federale en staats-, lokale, tribale en territoriale (SLTT) overheden. Het alarm geeft aan hoe APT-actoren gebruik maken van de mogelijkheid om hun kwetsbaarheid te chainen (aan elkaar te koppelen) of te misbruiken, waarbij ze een recentelijk bekendgemaakte “elevation of privileges” kwetsbaarheid in hun aanvallen meenemen.
Hieronder volgt een lijst van kwetsbaarheden waarnaar wordt verwezen in het gezamenlijke CISA/FBI cybersecurity alarm:
CVE | Vendor/Product | CVSSv3 | Tenable VPR* | Disclosed |
---|---|---|---|---|
CVE-2019-11510 | Pulse Connect Secure SSL VPN | 10.0 | 10.0 | Apr 2019 |
CVE-2018-13379 | Fortinet FortiOS SSL VPN | 9.8 | 9.8 | May 2019 |
CVE-2019-19781 | Citrix Netscaler | 9.8 | 9.9 | Dec 2019 |
CVE-2020-1631 | Juniper Junos OS | 9.8 | 6.7 | Apr 2020 |
CVE-2020-2021 | Palo Alto Networks PAN-OS | 10.0 | 10.0 | Jun 2020 |
CVE-2020-5902 | F5 BIG-IP | 9.8 | 9.9 | Jul 2020 |
CVE-2020-15505 | MobileIron | 9.8 | 9.5 | Jul 2020 |
CVE-2020-1472 | Microsoft Netlogon | 10.0 | 10.0 | Aug 2020 |
Initiële toegang verkregen via SSL VPN kwetsbaarheid
Volgens het CISA/FBI-alarm maken de APT-actoren “overwegend” gebruik van CVE-2018-13379 om een eerste toegang te krijgen tot doelomgevingen.
CVE-2018-13379 is een path traversal vulnerability in Fortinet’s FortiOS Secure Socket Layer (SSL) virtual private network (VPN) oplossing. Het is in april 2019 door Fortinet gepatcht. Pas nadat in augustus 2019 de details van de exploitatie openbaar waren gemaakt, kwamen er meldingen binnen van aanvallers die de oplossing in het wild exploiteerden.
Naast de kwetsbaarheid van Fortinet die wordt gebruikt om initiële toegang te krijgen, hebben CISA/FBI ook “in mindere mate” APT-actoren waargenomen die gebruik maken van CVE-2020-15505, een kwetsbaarheid voor “remote code execution” in MobileIron’s Core en Connector.
Post-exploitatie elevation of privilege met behulp van Zerologon
Zodra de APT actoren een eerste voet aan de grond hebben gekregen in hun doelomgeving, verhogen ze de privileges met behulp van CVE-2020-1472, een kritische elevation of privileges kwetsbaarheid in Microsoft’s Netlogon. Zerologon is berucht geworden nadat het in eerste instantie werd gepatcht in Microsoft’s Patch Tuesday release van augustus.
Op 18 september gaf de CISA Emergency Directive 20-04 uit in een poging om ervoor te zorgen dat de systemen van de “Federal Civilian Executive Branch” werden gepatcht tegen de kwetsbaarheid.
Zerologon waargenomen als onderdeel van aanvallen in het wild
Op 23 september twitterde het Security Intelligence team van Microsoft dat ze hadden waargenomen dat de Zerologon-exploitaties opgenomen worden als “incorporated into attacker playbooks” binnen de activiteit van de aanvaller.
Microsoft is actively tracking threat actor activity using exploits for the CVE-2020-1472 Netlogon EoP vulnerability, dubbed Zerologon. We have observed attacks where public exploits have been incorporated into attacker playbooks.
— Microsoft Security Intelligence (@MsftSecIntel) September 24, 2020
In een vervolgtweet op 6 oktober noteerde het Security Intelligence team van Microsoft een nieuwe campagne die gebruik maakt van CVE-2020-1472, afkomstig van een bedreigingsactor die bekend staat als CHIMBORAZO, ook wel bekend als TA505, een financieel gemotiveerde nation-state actor.
We’re seeing more activity leveraging the CVE-2020-1472 exploit (ZeroLogon). A new campaign shrewdly poses as software updates that connect to known CHIMBORAZO (TA505) C2 infrastructure. The fake updates lead to UAC bypass and use of wscript.exe to run malicious scripts.
— Microsoft Security Intelligence (@MsftSecIntel) October 6, 2020
CISA/FBI waarschuwen voor extra kwetsbaarheden die gebruikt worden voor eerste toegang.
Naast de in recente campagnes geïdentificeerde kwetsbaarheden van Fortinet en MobileIron waarschuwt het CISA/FBI-alarm ook dat deze APT-dreigingsactoren ook een van de volgende kwetsbaarheden kunnen gebruiken om toegang te krijgen tot hun doelwitnetwerken:
Blijvende en terugkerende kwetsbaarheden blijven populair onder dreigingsactoren
Veel van de kwetsbaarheden die in deze gezamenlijke waarschuwing van de CISA/FBI worden genoemd, zijn voor de bedreigende actoren terugkerende en blijvende kwetsbaarheden geworden. Als onderdeel van CISA’s Top 10 Routinely Exploited Vulnerabilities alert verwijzen ze naar zowel de Pulse Secure als Citrix ADC kwetsbaarheden.
In september heeft CISA twee afzonderlijke waarschuwingen (AA20-258A, AA20-259A) afgegeven die aangeven hoe APT-actoren uit China en Iran zich richten op niet gepachte kwetsbaarheden in Pulse Connect Secure, Citrix ADC en F5’s BIG-IP.
Amerikaanse verkiezingsondersteunende systemen zijn toegankelijk, maar de integriteit van de verkiezingsgegevens is intact.
In Alert AA20-283A vermeldt de CISA dat zij activiteiten hebben waargenomen die “hebben geleid tot ongeoorloofde toegang tot systemen ter ondersteuning van de verkiezingen”. Ze vermelden echter ook dat ze, ondanks deze ongeoorloofde toegang, geen bewijs hebben dat de “integriteit van de verkiezingsgegevens in gevaar is gebracht.”
Zerologon moet onmiddellijk worden gepatcht.
Met de laatste waarschuwing van CISA en de FBI, in combinatie met de rapportage van andere leveranciers, lijkt het duidelijk dat Zerologon een van de meest kritieke kwetsbaarheden van 2020 aan het worden is.
Een aantal proofs-of-concept (PoC) en exploit-scripts werden kort na het openbaar maken van deze kwetsbaarheden beschikbaar gesteld. Het volgende is een deelverzameling van enkele PoC’s en exploit scripts:
CVE | Source URL |
---|---|
CVE-2018-13379 | GitHub |
CVE-2018-13379 | GitHub |
CVE-2018-13379 | GitHub |
CVE-2019-11510 | GitHub |
CVE-2019-11510 | GitHub |
CVE-2019-11510 | GitHub |
CVE-2019-19781 | GitHub |
CVE-2019-19781 | GitHub |
CVE-2019-19781 | GitHub |
CVE-2020-5902 | GitHub |
CVE-2020-5902 | GitHub |
CVE-2020-5902 | GitHub |
CVE-2020-15505 | GitHub |
CVE-2020-1472 | GitHub |
CVE-2020-1472 | GitHub |
CVE-2020-1472 | GitHub |
Er zijn patches beschikbaar voor alle kwetsbaarheden die worden genoemd in het gezamenlijke cybersecurityadvies van CISA en de FBI. Voor de meeste kwetsbaarheden waren patches beschikbaar na openbaarmaking, met uitzondering van CVE-2019-19781, dat een maand na openbaarmaking patches kreeg.
Zie de individuele adviezen hieronder voor meer informatie.
Een lijst met Tenable plugins om deze kwetsbaarheden te identificeren is hier te vinden:
Tenable.io, Tenable.sc en Nessus gebruikers kunnen een nieuw scan template gebruiken dat gericht is op Zerologon. Plugin 140657 en de afhankelijkheden daarvan worden automatisch ingeschakeld binnen de template, en het wordt ook automatisch geleverd met de vereiste instellingen geconfigureerd.
Cookie | Duration | Description |
---|---|---|
_GRECAPTCHA | 5 months 27 days | This cookie is set by Google. In addition to certain standard Google cookies, reCAPTCHA sets a necessary cookie (_GRECAPTCHA) when executed for the purpose of providing its risk analysis. |
cookielawinfo-checkbox-advertisement | 1 year | The cookie is set by GDPR cookie consent to record the user consent for the cookies in the category "Advertisement". |
cookielawinfo-checkbox-analytics | 11 months | This cookie is set by GDPR Cookie Consent plugin. The cookie is used to store the user consent for the cookies in the category "Analytics". |
cookielawinfo-checkbox-functional | 11 months | The cookie is set by GDPR cookie consent to record the user consent for the cookies in the category "Functional". |
cookielawinfo-checkbox-necessary | 11 months | This cookie is set by GDPR Cookie Consent plugin. The cookies is used to store the user consent for the cookies in the category "Necessary". |
cookielawinfo-checkbox-others | 11 months | This cookie is set by GDPR Cookie Consent plugin. The cookie is used to store the user consent for the cookies in the category "Other. |
cookielawinfo-checkbox-performance | 11 months | This cookie is set by GDPR Cookie Consent plugin. The cookie is used to store the user consent for the cookies in the category "Performance". |
CookieLawInfoConsent | 1 year | Records the default button state of the corresponding category & the status of CCPA. It works only in coordination with the primary cookie. |
viewed_cookie_policy | 11 months | The cookie is set by the GDPR Cookie Consent plugin and is used to store whether or not user has consented to the use of cookies. It does not store any personal data. |
Cookie | Duration | Description |
---|---|---|
bcookie | 2 years | This cookie is set by linkedIn. The purpose of the cookie is to enable LinkedIn functionalities on the page. |
lang | session | This cookie is used to store the language preferences of a user to serve up content in that stored language the next time user visit the website. |
lidc | 1 day | This cookie is set by LinkedIn and used for routing. |
Cookie | Duration | Description |
---|---|---|
YSC | session | This cookies is set by Youtube and is used to track the views of embedded videos. |
Cookie | Duration | Description |
---|---|---|
_ga | 2 years | This cookie is installed by Google Analytics. The cookie is used to calculate visitor, session, campaign data and keep track of site usage for the site's analytics report. The cookies store information anonymously and assign a randomly generated number to identify unique visitors. |
_gat_gtag_UA_116473530_1 | 1 minute | This cookie is set by Google and is used to distinguish users. |
_gat_UA-116473530-1 | 1 minute | This is a pattern type cookie set by Google Analytics, where the pattern element on the name contains the unique identity number of the account or website it relates to. It appears to be a variation of the _gat cookie which is used to limit the amount of data recorded by Google on high traffic volume websites. |
_gid | 1 day | This cookie is installed by Google Analytics. The cookie is used to store information of how visitors use a website and helps in creating an analytics report of how the website is doing. The data collected including the number visitors, the source where they have come from, and the pages visted in an anonymous form. |
Cookie | Duration | Description |
---|---|---|
bscookie | 2 years | This cookie is a browser ID cookie set by Linked share Buttons and ad tags. |
IDE | 1 year 24 days | Used by Google DoubleClick and stores information about how the user uses the website and any other advertisement before visiting the website. This is used to present users with ads that are relevant to them according to the user profile. |
prism_476809757 | 1 month | Used by ActiveCampaign to track usage of newsletters |
test_cookie | 15 minutes | This cookie is set by doubleclick.net. The purpose of the cookie is to determine if the user's browser supports cookies. |
VISITOR_INFO1_LIVE | 5 months 27 days | This cookie is set by Youtube. Used to track the information of the embedded YouTube videos on a website. |
yt-remote-connected-devices | never | YouTube sets this cookie to store the video preferences of the user using embedded YouTube video. |
yt-remote-device-id | never | YouTube sets this cookie to store the video preferences of the user using embedded YouTube video. |
Cookie | Duration | Description |
---|---|---|
AnalyticsSyncHistory | 1 month | No description |
CONSENT | 16 years 7 months 5 days 13 hours | No description |
li_gc | 2 years | No description |
UserMatchHistory | 1 month | Linkedin - Used to track visitors on multiple websites, in order to present relevant advertisement based on the visitor's preferences. |