最后更新于2024年7月25日星期四19:47:43 GMT

注意: 虽然Rapid7在发布时并没有明确地将本博客中的攻击者行为与特定的CVE联系起来, 截至2023年12月，我们已经观察到多个利用Adobe ColdFusion的实例 cve - 2023 - 26360 用于初始访问，以及ColdFusion的开发 cve - 2023 - 29300, cve - 2023 - 29298, cve - 2023 - 38203.

Rapid7的威胁情报 检测工程团队已经确定了在多个客户环境中对Adobe ColdFusion的积极利用. 观测到的活动可以追溯到2023年1月. 国际石油公司如下.

Rapid7在insighttidr中有现有的检测规则，这些规则已经识别了该活动，并根据观察到的行为创建了额外的规则. 我们也观察到被入侵的网站ooshirts [.该网站被用于其他可追溯到2022年3月的攻击.

攻击者的行为

到目前为止，最早确定的妥协时间框架发生在2023年1月初. Rapid7发现有证据表明，恶意行为者使用编码的PowerShell命令删除了webshell. 进程启动数据表明 ColdFusion 2018 是否生成恶意命令.

恶意行为者通过ColdFusion执行的base64编码命令示例：

解码:

Rapid7客户

在我们目前的调查中, 已经观察到先前存在的和新的检测触发了Rapid7的后开发 InsightIDR and 管理检测 & 响应(MDR) 客户:

Webshell -可能的ColdFusion Webshell命令行

该检测识别在命令行中传递的常见ColdFusion标签. 恶意行为者在创建webshell时将字符串重定向到文件时使用此技术.

攻击者技术-带有URLCache标志的CertUtil

此检测识别“证书”的使用.使用‘ -urlcache ’标志传递给它. 恶意行为者使用这种技术来检索托管在远程web服务器上的文件并将其写入磁盘.

妥协指标

恶意行为者在创建webshell时将字符串重定向到文件中已经发现了这种技术. 寻找*.ColdFusion web浏览器中包含以下ColdFusion标签的cfm文件：

查看进程启动日志，查看ColdFusion Server的异常子进程

文件物品:

Type 价值 笔记
文件名 WOW.TXT ColdFusion网站管理权限
文件名 wow.txt ColdFusion网站管理权限
文件名 www.txt ColdFusion网站管理权限
文件名 www.cfm ColdFusion网站管理权限
文件名 wow1.cfm ColdFusion网站管理权限
文件名 zzz.txt ColdFusion网站管理权限
文件名 dncat.exe DotNetCat
文件名 nc.exe NetCat
sha - 256 e77d6a10370db19b97cacaeb6662ba79f34087d6eaa46f997ea4956e2ad2f245 ColdFusion网站管理权限
sha - 256 2482年ab79ecb52e1c820ead170474914761358d3cee16e3377fd6e031d3e6cc25 ColdFusion网站管理权限
sha - 256 03 b06d600fae4f27f6a008a052ea6ee4274652ab0d0921f97cfa222870b1ddc3 ColdFusion网站管理权限
sha - 256 be56f5ed8e577e47fef4e0a287051718599ca040c98b6b107c403b3c9d3ee148 ColdFusion网站管理权限
MD5 1 edf1d653deb9001565b5eff3e50824a DotNetCat
sha - 1 5 d95fb365b9d0ceb568bb0c75cb1d70707723f27 DotNetCat
sha - 256 213079 ef54d225c4ca75dd0d57c931bdc613e8c89a2d0dbff88be5b446d231f0 DotNetCat
MD5 470797 a25a6b21d0a46f82968fd6a184 NetCat
sha - 1 dac7867ee642a65262e153147552befb0b45b036 NetCat
sha - 256 ce80b839411b1541d09b0ede82f1477b516da0c60760079f46ba4443e1a6f419 NetCat

基于网络的指标:

Type 价值 笔记
FQDN www.av-iq [.]com 合法的受损域名
FQDN www.ooshirts [.]com 合法的受损域名
URL hXXps: / / www.av-iq [.] com/wow.txt ColdFusion网站管理权限
URL hXXps: / / www.ooshirts [.] com/images/zzz.txt ColdFusion网站管理权限
URL hXXps: / / www.ooshirts [.] com/images/dncat.exe DotNetCat
URL hXXp: / / www.ooshirts [.] com/images/nc.exe NetCat

斜接丙氨酸&/技术/ Subtechniques CK策略

TA0042 资源开发（策略）：

  • T1584 妥协基础设施（技术）
  • T1584.004 服务器(sub-technique)

TA0001 初步接触（战术）：

  • T1190 开发面向公众的应用（技术）

TA0002 执行(策略):

  • T1059 命令和脚本解释器（技术）
  • T1059.001 PowerShell (sub-technique)
  • T1059.003 Windows命令Shell（子技术）

TA0003 持久性(策略):

TA0011 Command & 控制(策略):

  • T1132 数据编码（技术）
  • T1132.001 标准编码（子技术）
  • T1572 协议隧道（技术）

缓解指导

虽然我们没有将这种行为与利用特定的CVE联系起来，但Adobe 发布的补丁 2023年3月14日ColdFusion的已知漏洞. 已知至少有一个版本16 （ColdFusion 2018）和版本6 （ColdFusion 2021）的cve补丁在野外被利用. Rapid7's vulnerability research team has successfully chained CVE-2023-26359 and cve - 2023 - 26360 for unauthenticated remote code execution; in-depth analysis and proof-of-concept code is 可以在这里的ackerkb中找到.

我们强烈建议ColdFusion客户更新到最新版本以修复已知的风险, 不管我们在这篇博客中详细描述的行为是否与最近的漏洞有关. 我们还建议客户检查他们的环境，寻找妥协的迹象.

InsightVM和expose客户可以通过以下方式评估他们暴露于已知Adobe ColdFusion漏洞的风险 重复漏洞检查覆盖率.

Eoin米勒 对本文有贡献.