Archiwa: SIEM - Strona 36 z 46

QNAP łata luki wykorzystane na Pwn2Own Ireland 2025: co musisz zaktualizować i jak zabezpieczyć NAS

Wprowadzenie do problemu / definicja luki

QNAP opublikował pakiet poprawek dla ~24 podatności w swoim portfolio, z czego 7 to 0-daye zademonstrowane podczas Pwn2Own Ireland 2025 (kategoria NAS/SoHo). W grze są zarówno systemy QTS/QuTS hero, jak i aplikacje o wysokich uprawnieniach: HBS 3 (Hybrid Backup Sync), Malware Remover oraz Hyper Data Protector. Skutki obejmują zdalne wykonanie kodu (RCE), ujawnienie informacji, ominięcie mechanizmów bezpieczeństwa oraz DoS. Aktualizacje są już dostępne i powinny zostać wdrożone niezwłocznie.

W skrócie

Minimalne wersje naprawcze:

QTS: 5.2.7.3297 (build 20251024+)
QuTS hero: h5.2.7.3297+ lub h5.3.1.3292+
HBS 3: 26.2.0.938+ (CVE-2025-62840, CVE-2025-62842)
Malware Remover: 6.6.8.20251023+ (CVE-2025-11837)
Hyper Data Protector: 2.2.4.1+ (CVE-2025-59389)

Po aktualizacji QNAP zaleca zmianę wszystkich haseł do kont i usług.

Kontekst / historia / powiązania

Na Pwn2Own Ireland 2025 zaprezentowano szereg łańcuchów ataku na QNAP. Team DDOS wykazał m.in. łańcuch 8 błędów na routerach i NAS-ach QNAP (nagroda 100 tys. USD), a DEVCORE skleił kilka podatności (iniekcje + błąd formatu) zdobywając 40 tys. USD. Summoning Team i badacz Chumy Tsai (CyCraft) pokazali kolejne wektory w aplikacjach backupowych. QNAP opublikował odpowiednie biuletyny bezpieczeństwa i patche.

Analiza techniczna / szczegóły luki

Zakres i klasy podatności (przykładowe):

QTS / QuTS hero – zestaw 3 błędów (m.in. iniekcje i format string), umożliwiający RCE / eskalację w określonych warunkach. Naprawione w QTS 5.2.7.3297 i odpowiednich buildach QuTS hero. (Atrybucja: DEVCORE).
HBS 3 (Hybrid Backup Sync) – dwa błędy (m.in. w ścieżkach wykonywania zadań backupu/synchronizacji), które w łańcuchach ataku pozwalały na zdalne wykonanie kodu i manipulację treścią kopii (CVE-2025-62840, CVE-2025-62842). Załatane w 26.2.0.938.
Malware Remover – krytyczny code injection (CVE-2025-11837); komponent działa z wysokimi uprawnieniami, więc RCE skutkuje przejęciem NAS-a. Patch: 6.6.8.20251023.
Hyper Data Protector – krytyczna podatność (CVE-2025-59389) pozwalająca na kompromitację hosta backupu VM; naprawiona w 2.2.4.1.

Dowód eksploatacji na Pwn2Own (fragmenty łańcuchów, nagrody, celowane modele jak TS-453E) został odnotowany w raportach ZDI z poszczególnych dni konkursu.

Praktyczne konsekwencje / ryzyko

Zatrucie i sabotaż kopii zapasowych: przejęcie HBS 3 umożliwia modyfikację/wymazywanie danych w repozytoriach off-site (rsync/S3/SMB/WebDAV), co może zniweczyć strategię 3-2-1 i utrudnić odtworzenie po incydencie.
Eskalacja uprawnień przez komponenty zaufane: Malware Remover i Hyper Data Protector działają z uprawnieniami systemowymi; ich kompromitacja = pełne RCE i potencjalny lateral movement do hipernadzorców/serwerów wirtualizacji.
Brak sygnałów o atakach „in the wild” na moment publikacji, ale historia QNAP pokazuje, że luki w NAS-ach szybko stają się celem grup ransomware/botnetów – dlatego czas reakcji ma krytyczne znaczenie.

Rekomendacje operacyjne / co zrobić teraz

1) Aktualizacja systemu i aplikacji

GUI (zalecane):
Panel sterowania → System → Aktualizacja oprogramowania (QTS/QuTS hero).
App Center → wyszukaj: HBS 3, Malware Remover, Hyper Data Protector → Update.
Wersje docelowe: patrz sekcja „W skrócie”.
CLI (sprawdzenie wersji QPKG):

# Na QNAP (BusyBox). Odczyt z /etc/config/qpkg.conf
getcfg "HBS 3 Hybrid Backup Sync" QPKG_Ver -f /etc/config/qpkg.conf
getcfg "Malware Remover"          QPKG_Ver -f /etc/config/qpkg.conf
getcfg "Hyper Data Protector"     QPKG_Ver -f /etc/config/qpkg.conf

2) Po aktualizacji – zmień hasła

Zmień hasła do wszystkich kont lokalnych, myQNAPcloud, udziałów i usług (rsync/FTP/SMB/WebDAV), rozważ też rotację kluczy/API używanych przez zadania HBS 3. Rekomendacja producenta po wdrożeniu poprawek.

3) Ogranicz ekspozycję NAS-a

Wyłącz bezpośredni dostęp z Internetu (port-forwarding, UPnP).
Używaj VPN/ZTN do administracji; reguły QuFirewall: whitelisting IP/Admin, geo-IP, blokada nietypowych portów.

4) Utwardzenie aplikacji backupu

HBS 3: stosuj repozytoria WORM/immutable, wersjonowanie, testy odtwarzania (restore drills).
Hyper Data Protector: separuj konta serwisowe (najmniejsze uprawnienia), monitoruj logi z zadaniami VM.

5) Monitoring i detekcja (przykładowe sygnały do SIEM)

Nietypowe modyfikacje zadań HBS 3 (nagłe zmiany destynacji/S3 bucket).
Nowe konta admin lub rotacja haseł poza oknem serwisowym.
Wywołania skryptów/system() przez procesy QPKG (próby RCE).

Wskazówka: jeśli nie możesz patchować natychmiast, przynajmniej wyłącz HBS 3/Hyper Data Protector/ekspozycję WAN i odizoluj NAS segmentacją.

Różnice / porównania z innymi przypadkami

W odróżnieniu od dawnych, pojedynczych RCE w panelach WWW NAS-ów, tutaj „gorącym” celem są aplikacje backupowe (HBS 3, Hyper Data Protector) – ich kompromitacja daje większą dźwignię: modyfikacja kopii, pivot do hostów wirtualizacji, niszczenie ścieżek odtworzeniowych.
Łańcuchy na Pwn2Own (złożone exploity, łączenie iniekcji z błędami formatu/uwierzytelniania) pokazują rosnącą złożoność ataku i wartość testów red team/bug bounty dla dostawców.

Podsumowanie / kluczowe wnioski

Patch first: QTS/QuTS hero + HBS 3 + Malware Remover + Hyper Data Protector do wersji wskazanych powyżej.
Zmień hasła i klucze natychmiast po aktualizacji.
Zamknij ekspozycję WAN i wymuś administrację przez VPN/ZTN.
Zabezpiecz backup (immutability, testy restore, konta o najmniejszych uprawnieniach).
Monitoruj anomalie w zadaniach backupu i logach QPKG.

To nie jest „zwykły” patch Tuesday – dotyczy komponentów, które decydują o przetrwaniu incydentu (backup i odtwarzanie). Działaj od razu.

Źródła / bibliografia

SecurityWeek – przegląd poprawek QNAP po Pwn2Own Ireland 2025 (daty, CVE, wersje) (SecurityWeek)
QNAP QSA-25-46 – Multiple Vulnerabilities in HBS 3 Hybrid Backup Sync (wersja 26.2.0.938+) (qnap.com)
QNAP QSA-25-47 – Vulnerability in Malware Remover (CVE-2025-11837; 6.6.8.20251023+) (qnap.com)
QNAP QSA-25-48 – Vulnerability in Hyper Data Protector (CVE-2025-59389; 2.2.4.1+) (qnap.com)
ZDI – Pwn2Own Ireland 2025 (wyniki dzienne; potwierdzenie łańcuchów i nagród) (zerodayinitiative.com)

CISA nakazuje załatomanie zero-day Samsunga (CVE-2025-21042) wykorzystywanego do ataków spyware „LandFall”

Wprowadzenie do problemu / definicja luki

Amerykańska CISA dołączyła do katalogu Known Exploited Vulnerabilities (KEV) krytyczną lukę w urządzeniach Samsung Galaxy – CVE-2025-21042 – i nakazała agencjom federalnym natychmiastowe załatanie floty. Błąd to out-of-bounds write w bibliotece libimagecodec.quram.so, który umożliwia zdalne wykonanie kodu (RCE) na urządzeniach z Androidem 13+ po przetworzeniu specjalnie spreparowanego obrazu. Samsung załatał problem w SMR Apr-2025 Release 1. CISA ustaliła termin naprawy na 1 grudnia 2025 r. w ramach BOD 22-01.

Równolegle zespół Unit 42 opisał kampanię szpiegowską LANDFALL, która wykorzystywała tę lukę poprzez obrazy DNG dostarczane m.in. przez WhatsApp.

W skrócie

CVE-2025-21042: błąd zapisu poza buforem w libimagecodec.quram.so → RCE po otwarciu/przetworzeniu obrazu (DNG). Łatka: SMR Apr-2025 Release 1.
Wykorzystanie w atakach: spyware LANDFALL, dostarczany w zmodyfikowanych plikach DNG (obraz + dołączone archiwum ZIP z komponentami .so).
Status CISA: wpis w KEV z datą dodania 10 listopada 2025 i terminem 1 grudnia 2025 na wdrożenie mitigacji/aktualizacji.
Zasięg: modele flagowe Galaxy (m.in. S22/S23/S24, Z Fold4/Z Flip4); potencjalne ofiary w Iraku, Iranie, Turcji, Maroku.

Kontekst / historia / powiązania

Unit 42 wskazuje, że próbki złośliwych obrazów DNG pojawiały się w VirusTotal od lipca 2024 r., a kampania trwała miesiącami przed publikacją poprawki w kwietniu 2025 r. Luka została prywatnie zgłoszona do Samsunga jesienią 2024 r., a numer CVE nadano w 2025 r.

CISA ujęła CVE-2025-21042 w KEV i publicznie zaapelowała o szybkie działania naprawcze – zgodnie z praktyką, gdy luka jest aktywnie wykorzystywana. NVD potwierdza krytyczną ocenę (CVSS v3.1 do 9.8 wg NVD) i odniesienia do KEV oraz biuletynu Samsunga.

W tym samym komponencie (libimagecodec.quram.so) Samsung łatał też CVE-2025-21043 we wrześniu 2025 r., również wcześniej obserwowaną „in the wild”. To sugeruje szerszy trend nadużywania parserów RAW/DNG na platformach mobilnych.

Analiza techniczna / szczegóły luki

Wektor wejścia
Atakujący wysyła spreparowany plik DNG (Digital Negative). Podczas parsowania obrazu przez libimagecodec.quram.so dochodzi do zapisu poza buforem i przejęcia przepływu sterowania. W próbkach LANDFALL na końcu DNG dołączono ZIP z komponentami ELF (b.so – loader/backdoor oraz moduł manipulujący politykami SELinux), które po eksploatacji są wyodrębniane i wykonywane.

Warstwa exploita

Błąd został naprawiony w SMR Apr-2025 R1 (Samsung Mobile Release).
W ocenie NVD: RCE zdalne, często przy minimalnej interakcji użytkownika (w niektórych ścieżkach wystarczy automatyczne przetworzenie miniatury/metadata).

Łańcuch infekcji LANDFALL (skrót)

Dostarczenie obrazu DNG przez komunikator (np. WhatsApp).
Parsowanie → wyzwolenie OOB write w libimagecodec.quram.so.
Rozpakowanie dołączonego ZIP i uruchomienie b.so.
Manipulacja SELinux dla uprawnień/persistencji; telemetryka i exfiltracja (kontakty, SMS, lokalizacja, audio, zdjęcia, logi połączeń).

Praktyczne konsekwencje / ryzyko

Zero-click/low-click: w zależności od ścieżki przetwarzania mediów na urządzeniu/wersji aplikacji, exploit może wymagać minimalnej lub zerowej interakcji. Ryzyko dotyczy też miniatur/preview.
Zasięg urządzeń: liczne generacje Galaxy na Androidzie 13+; floty BYOD/COPE w organizacjach mogą być podatne do czasu aktualizacji.
Skutki incydentu: pełna inwigilacja (mikrofon, geolokacja, pliki), utrata poufności danych służbowych, możliwość wtórnego ruchu C2 i eskalacji.

Rekomendacje operacyjne / co zrobić teraz

1) Natychmiastowe łatanie (priorytet 1)

W MDM/EMM wymuś aktualizację do SMR Apr-2025 R1 lub nowszej (docelowo najnowszy SMR dostępny dla danego modelu). Egzekwuj regułę „block non-compliant” dla urządzeń bez poprawki.

2) Twarde zasady dla mediów w komunikatorach (tymczasowe)

Do czasu pełnego rollout’u rozważ wyłączenie auto-pobierania mediów w zarządzanych komunikatorach albo polityki „open-in-viewer sandbox” (jeśli MDM/Knox to wspiera). (Ogólna praktyka ograniczająca powierzchnię ataku obrazami RAW.)

3) Telemetria i hunting

Monitoruj katalogi mediów komunikatorów pod kątem pliki .dng / JPEG zawierające podpis ZIP na końcu (magic 50 4B 03 04).
Przykładowy one-liner dla urządzeń z dostępem ADB (urządzenia testowe/lab):

# Szukaj artefaktów plików DNG/JPEG z dołączonym ZIP w MediaStore WhatsAppa
adb shell 'for f in $(find /sdcard/WhatsApp/Media -type f \( -iname "*.dng" -o -iname "*.jpg" -o -iname "*.jpeg" \) 2>/dev/null); do \
  tail -c +1 "$f" | hexdump -Cv | tail -n +1 | grep -q "50 4b 03 04" && echo "[SUSPECT] $f"; done'

Przejrzyj ruch pod kątem anomalii do domen/IP C2 (jeśli posiadasz IOK/IOC z Twoich sensorów lub z raportów komercyjnych). Unit 42 wskazuje obszary geograficzne i podobieństwa infrastrukturalne do komercyjnych PSSA/PSOA, ale nie publikuje jednoznacznej atrybucji.

4) Kontrola uprawnień i detekcja zachowań

Upewnij się, że agent MTD/Mobile EDR ma zasady wykrywania nietypowych uprawnień SELinux i prób wywołań loaderów .so z katalogów danych aplikacji.
W SIEM utwórz reguły korelacyjne na: nagłe uruchomienia mikrofonu w tle + transfer danych + aktywność lokalizacyjna na urządzeniach Galaxy.

5) Reagowanie na incydent (IR)

Izoluj urządzenie (Knox/MDM: tryb „lost mode”/block network), wykonaj cold reboot, zbierz ADB bugreport i kopię katalogów mediów do analizy.
Jeśli wykryto wskaźniki LANDFALL: factory reset + odtworzenie z czystej kopii, rotacja kont/kluczy używanych na urządzeniu.

6) Polityki długofalowe

W standardach bezpieczeństwa mobilnego dodaj wymóg: „aktualizacje SMR ≤30 dni” oraz „parsery obrazów RAW/DNG pod specjalnym nadzorem” (testy regresji).
Minimalizuj zaufanie do bibliotek multimedialnych – sandboxy, ograniczenia parserów w aplikacjach o podwyższonym zaufaniu.

Różnice / porównania z innymi przypadkami

CVE-2025-21042 vs CVE-2025-21043 (Samsung, ten sam komponent)
Obie luki dotyczą libimagecodec.quram.so i formatu DNG, lecz 21042 (załatana w kwietniu 2025) jest bezpośrednio powiązana z kampanią LANDFALL. 21043 (załatana we wrześniu 2025) również była obserwowana „in the wild”, ale nie w tej konkretnej kampanii. Dla SOC/MDM praktycznie oznacza to patch oba zestawy SMR i objęcie parsera DNG testami bezpieczeństwa.
Paralela do ekosystemu Apple/WhatsApp (2025 r.)
Unit 42 wskazuje podobieństwa do równoległych łańcuchów na iOS (m.in. CVE-2025-43300 po stronie DNG i CVE-2025-55177 po stronie WhatsApp); nie ma jednak dowodu na nieznaną lukę w samym WhatsApp w scenariuszu Samsung/Android. Wniosek: parsery obrazów RAW stały się istotnym wektorem APT/spyware w 2024–2025.

Podsumowanie / kluczowe wnioski

Zaktualizuj wszystkie Galaxy do SMR Apr-2025 R1 lub nowszej – to eliminuje CVE-2025-21042, którą CISA klasyfikuje jako aktywnie wykorzystywaną (KEV, termin 1.12.2025 dla FCEB).
Wprowadź tymczasowe ograniczenia dla mediów DNG w komunikatorach do czasu 100% zgodności floty.
Usprawnij hunting pod kątem anomalii w obrazach (DNG z dołączonym ZIP) i zachowań (SELinux, mikrofon, exfil).
Traktuj parsery grafiki jako powierzchnię wysokiego ryzyka – regularne testy i szybkie rollouty SMR.

Źródła / bibliografia

NVD – CVE-2025-21042: opis, CVSS, odniesienia do KEV i SMR Apr-2025 R1. (NVD)
Samsung Mobile Security – SMR Apr-2025 R1: biuletyn z poprawką dla libimagecodec.quram.so. (Samsung Mobile Security)
Unit 42 (Palo Alto Networks) – LANDFALL: pełna analiza kampanii, wektor DNG, komponenty .so, oś czasu i kraje celów. (Unit 42)
CISA KEV/BOD 22-01 (poprzez NVD): data dodania do KEV (2025-11-10), termin naprawy (2025-12-01) i wymóg zastosowania mitigacji. (NVD)
NVD – powiązania i historia zmian: wpisy dot. KEV i referencji Unit 42/Samsung. (NVD)

CVE-2025-21042 — RCE w libimagecodec.quram.so (Samsung Galaxy)

TL;DR

Krytyczny błąd out‑of‑bounds write w bibliotece obrazu libimagecodec.quram.so na urządzeniach Samsung umożliwia zdalne wykonanie kodu podczas przetwarzania specjalnie spreparowanego pliku DNG; załatany w SMR Apr‑2025 Release 1.
NVD ocenia bazowy CVSS 3.1 = 9.8 (UI:N), podczas gdy ocena producenta wskazuje 8.8 (UI:R) — różnica wynika z interpretacji wymaganej interakcji użytkownika.
CISA dodała CVE-2025-21042 do KEV (11‑10‑2025), wymagając szybkiego wdrożenia łatek.
W kampanii LANDFALL złośliwe DNG przekazywano m.in. przez komunikatory; po exploicie ładowano komponenty spyware i łączono się z C2.
Dla SOC: wykrywaj krótki łańcuch pobranie DNG → crash/SEGSEGV libimagecodec → outbound HTTPS C2, waliduj poziom SMR, izoluj urządzenia przez MDM.

Krótka definicja techniczna

CVE‑2025‑21042 to podatność typu out‑of‑bounds write w libimagecodec.quram.so (komponent parsowania obrazów na Androidzie Samsunga). Przetworzenie specjalnie spreparowanego pliku obrazu może skutkować zdalnym wykonaniem kodu. Problem został zaadresowany w Samsung Mobile Security Maintenance Release (SMR) Apr‑2025 Release 1.

Gdzie występuje / przykłady platform

Android (Samsung Galaxy): biblioteka libimagecodec.quram.so; podatność aktywuje się podczas parsowania zawartości (np. DNG). Patch dostępny od SMR Apr‑2025 R1.
Komunikatory / aplikacje konsumenckie: kampania LANDFALL wykorzystywała spreparowane pliki DNG (często dostarczane przez komunikator), co prowadziło do RCE i doinstalowania komponentów spyware.
Windows / AD / AWS / Azure / GCP / K8s / ESXi / M365: nie dotyczy bezpośrednio (wektor dotyczy urządzeń mobilnych i ich aplikacji). W środowiskach korporacyjnych wpływ występuje pośrednio (MDM/EDR dla Android, serwisy proxy/DLP).

Szczegółowy opis techniki (jak działa, cele, dlaczego skuteczna)

Wadliwe sprawdzenie granic bufora w libimagecodec.quram.so pozwala nadpisać pamięć podczas dekodowania obrazu. W obserwowanej kampanii LANDFALL nośnikiem były pliki DNG (TIFF‑like), do których dodano na końcu zarchiwizowane komponenty (ZIP). Po skutecznym RCE łańcuch wyodrębniał i uruchamiał .so loadera, który dalej pobierał moduły spyware i nawiązywał łączność z C2. Samsung usunął błąd w SMR Apr‑2025 R1; CISA klasyfikuje podatność jako aktywnie wykorzystywaną (KEV). Skuteczność wynika z: szerokiej powierzchni ataku (rendering obrazów przez aplikacje), trudności w inspekcji treści binarnej obrazów oraz łańcucha, który minimalizuje artefakty instalacyjne.

Uwaga o ocenach: NVD przypisał CVSS 9.8 (UI:N), a producent 8.8 (UI:R) — w praktyce obserwowano scenariusz z dostarczeniem przez usługę/komunikator; nie wszystkie warianty muszą wymagać interakcji użytkownika.

Artefakty i logi (co i gdzie szukać)

Warstwa	Źródło/log	Co szukać	Przykład/wzorzec
Android (urządzenie)	logcat (`crash`, `events`)	Crashe `mediaserver`/procesu parsującego z odniesieniem do `libimagecodec.quram.so`; `SIGSEGV`/`signal 11`	`message:libimagecodec.quram.so AND (SIGSEGV OR signal 11)`
Android (tombstones)	`/data/tombstones/`	Backtrace z ramką w `libimagecodec.quram.so`; offsety w dekoderze obrazu	plik `tombstone_*.txt` z `backtrace ... libimagecodec.quram.so`
Aplikacje/IO	Ścieżki plików aplikacji (np. media z komunikatora)	Świeżo zapisane pliki .dng poprzedzające crash	`.../Media/.../*.dng` (czas modyfikacji ≈ czas crasha)
Sieć/Proxy/NGFW	HTTP(S) transakcje z CDN komunikatora; odpowiedzi `image/x-adobe-dng`	Nietypowo duże DNG; anomalia UA; po pobraniu — połączenia do rzadkich domen (C2)	`content_type=image/x-adobe-dng AND bytes_in > N` potem `dst_category=unknown`
MDM/MTD/EDR Mobile	Inwentarz wersji / zgodność patchy	Poziom SMR < Apr‑2025 R1	raport zgodności MDM: brak łat bezpieczeństwa kwiecień 2025
M365/Defender AH	`DeviceTvmSoftwareVulnerabilities` (jeśli dostępne dla Android)	Wzmianki o CVE-2025-21042 na urządzeniach mobilnych	`CveId == "CVE-2025-21042"`
AWS CloudTrail	—	Nie dotyczy (wektor mobilny)	—
K8s audit	—	Nie dotyczy	—
M365 Operations	—	Pośrednio: alerty DLP/Defender na strumienie C2	wzmianki o anomaliach HTTP(S) po crashu

Źródła techniczne o wektorze i łatce: NVD/Samsung/Unit42.

Detekcja (praktyczne reguły)

Sigma (Android logcat — crash dekodera obrazu)

title: CVE-2025-21042 — podejrzenie exploitu (crash libimagecodec.quram.so po DNG)
id: 5f2b0a2b-2f9d-4b64-9f3e-c21042dng
status: experimental
description: Wykrywa crash parsowania obrazu z odniesieniem do libimagecodec.quram.so po zapisaniu pliku .dng (np. z komunikatora)
author: Badacz CVE
date: 2025/11/11
logsource:
  product: android
  service: logcat
detection:
  crash:
    message|contains:
      - 'libimagecodec.quram.so'
      - 'SIGSEGV'
  dng_hint:
    message|contains:
      - '.dng'
  condition: crash and dng_hint
falsepositives:
  - Rzadkie awarie libimagecodec podczas obróbki prawidłowych plików
level: high
tags:
  - cve.2025-21042
  - attack.t1658
  - attack.t1664

Splunk (SPL) — korelacja: zapis DNG → crash → wyjście HTTPS

| tstats summariesonly=f allow_old_summaries=t
  count from datamodel=Endpoint.Filesystem
  where Filesystem.file_extension=dng
  by _time, Filesystem.dest, Filesystem.file_name, Filesystem.file_path
| rename Filesystem.dest as device, Filesystem.file_name as fname, Filesystem.file_path as fpath
| join device [ search index=android sourcetype=logcat (libimagecodec.quram.so AND (SIGSEGV OR "signal 11"))
               | stats earliest(_time) as crash_time by host
               | rename host as device ]
| where abs(crash_time - _time) <= 300
| join device [ search index=proxy OR index=fw (dest_category=unknown OR category="newly_seen")
               | stats latest(_time) as c2_time by src_ip, cs_host
               | rename src_ip as device ]
| table device, fname, fpath, _time, crash_time, c2_time, cs_host

KQL (Microsoft 365 Defender — Advanced Hunting)

Widok podatności (TVM), jeśli dostępny dla Androida:

DeviceTvmSoftwareVulnerabilities
| where CveId == "CVE-2025-21042"
| summarize dcount(DeviceId) by SoftwareVendor, SoftwareName

Korelacja crashu i potencjalnej aktywności sieciowej:

let CrashWin = 5m;
let crashes =
DeviceEvents
| where DeviceType == "Android"
| where ActionType in ("ApplicationCrashed","ExploitAttempted","AbnormalProcessTermination")
| where AdditionalFields has "libimagecodec.quram.so";
let dngWrites =
DeviceFileEvents
| where DeviceType == "Android"
| where FileName endswith ".dng";
crashes
| join kind=innerunique (dngWrites) on DeviceId
| where datetime_diff('second', crashes.Timestamp, dngWrites.Timestamp) between (-CrashWin .. CrashWin)

CloudTrail query (AWS CLI/CloudWatch)

[nie dotyczy] — brak bezpośrednich zdarzeń AWS dla wektora mobilnego.

Elastic / EQL (ECS)

sequence by host.id with maxspan=5m
  [ file where file.extension == "dng" and process.name in ("com.whatsapp","com.android.mms","com.sec.android.gallery3d") ]
  [ any where event.category == "process" and event.action == "crash" and message like "*libimagecodec.quram.so*" ]
  [ network where network.protocol == "http" and destination.domain in ("unknown","newly_observed") ]

Wzorce oparte na publicznych opisach wektora (DNG → crash → C2). Dostosuj nazwy pól do własnego schematu.

Heurystyki / korelacje

Korelacja czasowa: zapis/plansza DNG w mediach komunikatora ±5 min → crash libimagecodec.quram.so → nowy outbound HTTPS do mało‑popularnej domeny.
Anomalia rozmiaru: DNG większy niż typowe zdjęcia RAW z telefonu użytkownika (ze względu na doczepione ZIP).
Ścieżka pliku i nazewnictwo: wzorce typu WhatsApp Image YYYY-MM-DD ... .jpeg z rozszerzeniem DNG/niepełnym EXIF.
Geografia/intel: próbki obserwowane m.in. w Irak, Iran, Turcja, Maroko — wzmocnij monitoring dla tych regionów/oddziałów.

False positives / tuning

Pojedyncze crashe dekodera obrazu (wadliwe pliki graficzne, aplikacje foto).
Legalne pliki DNG z dużymi zasobnikami (profesjonalne RAW), bez dalszych objawów (brak C2).
Tuning: wymagaj sekwencji: DNG → crash → nowy outbound do mało‑popularnej domeny oraz brak patcha SMR Apr‑2025 na urządzeniu.

Playbook reagowania (IR)

Triag/izolacja: odizoluj urządzenie w MDM (blokada sieci, wyłącz backupy).
Weryfikacja łatek: sprawdź SMR Apr‑2025 R1 lub nowszy; brak → wymuś aktualizację.
Zabezpieczenie artefaktów: zbierz logcat -b crash -d, tombstones, listę ostatnio zapisanych .dng i ich SHA‑256 (nie otwieraj na urządzeniu!).
Hunting: wyszukaj w proxy/NGFW rzadkie domeny po crashu; skorelować z innymi urządzeniami.
Eradykacja: usuń podejrzane media, przywróć urządzenie do stanu zgodnego (patch), zresetuj tokeny/aplikacje dotknięte (komunikatory).
Komunikacja: poinformuj użytkownika, przeprowadź świadomość nt. nieotwierania nieoczekiwanych obrazów (do czasu pełnej dystrybucji poprawek).
Lessons Learned: dodaj reguły DLP/NGFW dla nietypowych DNG z CDN komunikatorów; zasil listy C2 z TI.

Przykłady z kampanii / case studies

LANDFALL (Unit 42, 2024–2025): Zidentyfikowano spreparowane DNG z dołączonym ZIP; po exploicie łańcuch ładował moduły spyware i łączył z C2. Aktywność obserwowana m.in. w Iraku, Iranie, Turcji i Maroku.
Doniesienia prasowe (THN/SecurityWeek) potwierdzają wykorzystanie CVE‑2025‑21042 jako zero‑daya do dostarczenia LANDFALL na Galaxy; patch w kwietniu 2025.
KEV: CISA dodała CVE do katalogu znanych exploitów 10 listopada 2025 — priorytet wdrożenia łatek.

Lab (bezpieczne testy) — tylko do walidacji detekcji

Nie generujemy exploitów. Poniższe kroki tworzą nieszkodliwy plik testowy (DNG z doczepionym ZIP), aby sprawdzić łańcuch detekcyjny. Nie otwieraj pliku na podatnych urządzeniach.

Przygotuj próbkę:

# Użyj dowolnego bezpiecznego DNG (np. z aparatu) lub skonwertuj zdjęcie do DNG w narzędziu offline.
echo "hello" > harmless.txt
zip harmless.zip harmless.txt
cat sample.dng harmless.zip > sample_dng_plus_zip.dng
sha256sum sample_dng_plus_zip.dng

Weryfikacja sygnatur:

# Spodziewane 'PK\x03\x04' blisko końca pliku
strings -n 4 sample_dng_plus_zip.dng | tail

Walidacja pipeline: wgraj plik na sandbox/serwer skanujący (nie na urządzenie mobilne), sprawdź czy:
- reguły proxy/IDS klasyfikują go jako image/x-adobe-dng o większym rozmiarze,
- reguły SIEM (z sekcji 7) flagują zdarzenie (bez części „crash”).

Mapowania (Mitigations, powiązane techniki)

Mitigations (Mobile/Enterprise):

M1051 — Update Software: natychmiastowe wdrożenie SMR Apr‑2025 R1 i nowszych na urządzeniach Samsung.
M1013 — Application Developer Guidance: twarda walidacja danych wejściowych w bibliotekach obrazów (wskazanie dla dostawców/SDLC).
M1002 — Attestation (Mobile): egzekwuj nienaruszalność/stan urządzeń (wykrywanie modyfikacji/SELinux).

Powiązane techniki ATT&CK:

T1658 (Mobile), T1203 (Enterprise) — Exploitation for Client Execution (rdzeń problemu).
T1664 (Mobile) — Exploitation for Initial Access (wejście przez parser obrazu).
T1566.003 (Enterprise) — Spearphishing via Service (dostarczanie przez komunikator).

Źródła / dalsza lektura

NVD/CVE: opis, oceny CVSS (różnica NVD vs. producent), KEV (data dodania). (NVD)
CVE.org: rekord CVE. (CVE)
Samsung SMR Apr‑2025 R1: wpis SVE‑2024‑1969 → CVE‑2025‑21042 i status łaty. (Samsung Mobile Security)
Unit 42 (Palo Alto Networks): analiza kampanii LANDFALL (DNG z doczepionym ZIP, łańcuch spyware, geografia). (Unit 42)
The Hacker News / SecurityWeek: doniesienia prasowe o real‑world exploitation i patchu. (The Hacker News)
MITRE ATT&CK — wersje i techniki Mobile/Enterprise: techniki T1658/T1664/T1203/T1566.003; wersja v18.0. (MITRE ATT&CK)

Checklisty dla SOC / CISO

SOC (operacyjna):

Widok urządzeń Samsung + poziom SMR (Apr‑2025 lub nowszy).
Reguły SIEM: sekwencja DNG → crash libimagecodec → nowe C2.
Filtry proxy/NGFW dla image/x‑adobe‑dng z CDN komunikatorów (anomalie rozmiaru).
Blokada/monitoring domen „nowo obserwowanych” po crashu.
Collectors: logcat crash, tombstones z Androida.
Hurtowe wyszukiwanie CVE‑2025‑21042 w TVM/MDM/EDR.
Procedura szybkiej izolacji przez MDM.
Playbook IR z sekcji 10 (w tym komunikacja z użytkownikiem).
Walidacja reguł detekcyjnych na plikach testowych (sekcja 12).
Retrospektywny hunting 2024–2025 pod kątem anomalii DNG.

CISO (strategiczna):

SLA na wdrażanie SMR/aktualizacji (mitigation M1051).
Polityka MDM wymuszająca stan „zgodny” przed dostępem do zasobów.
Zdolność do telemetrii mobilnej (logcat/tombstones) w SIEM.
Threat intel dotyczący KEV i kampanii mobilnych (LANDFALL).
Testy kontrolne: inspekcja nośników medialnych (obrazy/RAW) w gateway’u.
Program świadomości o zagrożeniach w komunikatorach (T1566.003).

OWASP Top 10 (2025 RC1): dwie nowe kategorie ryzyka dla aplikacji webowych

Wprowadzenie do problemu / definicja zmian

OWASP opublikował wersję Release Candidate listy Top 10:2025, która porządkuje najpoważniejsze ryzyka bezpieczeństwa aplikacji webowych. Nowa edycja przynosi dwie nowe kategorie oraz konsolidację (SSRF wchodzi do Broken Access Control). Zestawienie pozostaje „data-informed”, ale nie „data-driven”—autorzy łączą analizę danych z ankietą społeczności, aby wychwycić ryzyka słabo mierzalne narzędziami.

W skrócie

Nowe kategorie:
- A03: Software Supply Chain Failures – rozwinięcie dawnego „Vulnerable and Outdated Components” o pełny łańcuch dostaw: zależności, buildy, dystrybucja.
- A10: Mishandling of Exceptional Conditions – błędne obchodzenie się ze stanami wyjątkowymi (np. „fail open”, ujawnianie szczegółów błędów, brak rollbacków transakcji).
Konsolidacja: SSRF wchodzi do A01: Broken Access Control.
Awans: Security Misconfiguration rośnie z #5 (2021) na #2 (2025 RC1).

Kontekst / historia / powiązania

Lista Top 10 to punkt odniesienia dla zespołów AppSec od lat. W 2021 r. największym trzęsieniem ziemi było wyniesienie „Broken Access Control” na #1 oraz wydzielenie „Insecure Design”. W 2025 RC1 zespół OWASP:

zwiększa liczbę analizowanych CWE do 589 (vs ~400 w 2021),
kładzie nacisk na przyczynę, nie symptom (root cause),
korzysta z danych o CVEs/CVSS oraz z ankiety społeczności dla kategorii słabo testowalnych na skalę.

Analiza techniczna / szczegóły

A03: Software Supply Chain Failures (nowa/rozszerzona)

To rozszerzenie dawnego „Vulnerable and Outdated Components” (A06:2021), ale obejmujące cały ekosystem: zależności bezpośrednie i transytywne, narzędzia buildowe, rejestry artefaktów, łańcuch dystrybucji i podpisywanie. Mimo że kategoria ma niewiele CVE (problem z testowalnością), w ankiecie społeczności była najwyżej oceniana; OWASP podkreśla też wysokie średnie wyniki exploit/impact w CVE. Przykłady: SolarWinds czy kampanie uderzające w marketplace’y rozszerzeń.

Ryzyka techniczne (przykłady CWE):

CWE-1104: użycie nieutrzymywanych komponentów,
CWE-1395: zależność od podatnego komponentu,
CWE-1329: komponent nieaktualizowalny.

A10: Mishandling of Exceptional Conditions (nowa)

Nowa kategoria obejmuje 24 CWE związane z obsługą wyjątków, błędami logiki, „fail open”, wyciekami informacji z komunikatów błędów, brakiem reakcji na stany nadzwyczajne czy niejednolitą obsługą wyjątków. To obszar wcześniej traktowany czasem jako „code quality”, ale jego wpływ bezpieczeństwa jest realny: od DoS i eskalacji uprawnień po naruszenia integralności i poufności.

Ryzyka techniczne (przykłady CWE):

CWE-209/CWE-550: komunikaty błędów ujawniające dane wrażliwe,
CWE-636: brak „failing closed”,
CWE-703/754/755: niewłaściwe sprawdzanie/obsługa warunków wyjątkowych.

Inne przetasowania

A01 Broken Access Control pozostaje #1 i wchłania SSRF.
A02 Security Misconfiguration rośnie do #2 (coraz więcej zachowań aplikacji konfiguruje się, a nie koduje).
A04 Cryptographic Failures oraz A05 Injection spadają o dwa miejsca (na #4 i #5).
Nazwy doprecyzowano: np. A09 Logging & Alerting Failures (wcześniej „Security Logging and Monitoring Failures”).

Praktyczne konsekwencje / ryzyko

Łańcuch dostaw: atak na „narzędzia i metry” (IDE, pluginy, pipeline, rejestry, dependency resolvery) często omija klasyczne testy DAST/SAST. Potrzebna jest ciągła widoczność SBOM, kontrola źródeł i podpisy kryptograficzne artefaktów.
Stany wyjątkowe: błahe z pozoru wyjątki (np. brak parametru) mogą stać się prymitywem eksploitacyjnym (leaki w komunikatach, race condition, brak rollbacku transakcji → fraud). W mikrousługach kaskadowe wyjątki kończą się często DoS lub rozjechanym stanem.

Rekomendacje operacyjne / co zrobić teraz

1) Supply chain security w praktyce

Inwentaryzacja i SBOM:

# SBOM (CycloneDX) – syft
syft dir:./ -o cyclonedx-json > sbom.json

# SCA – grype (mapowanie do CVE)
grype sbom:sbom.json --fail-on high

Weryfikacja artefaktów (Sigstore cosign):

# Podpisanie obrazu
cosign sign --key cosign.key registry.example.com/app:1.2.3

# Weryfikacja podpisu
cosign verify --key cosign.pub registry.example.com/app:1.2.3

Kontrola źródeł i wersji:

Zezwalaj tylko na oficjalne rejestry i podpisane paczki (npm, PyPI, Maven, NuGet).
W CI/CD wymuś pinning wersji i bloker „latest”.
Regularnie aktualizuj IDE/plug-iny, runner’y, builder’y; traktuj je jak element produkcji.

Narzędzia OWASP, które warto włączyć:

Dependency-Check / Dependency-Track, CycloneDX, ASVS. (Wprost rekomendowane na stronie A03).

2) Obsługa wyjątków „fail closed” + minimalizacja wycieków

Zasady:

Zawsze rollback transakcji przy błędach (nie próbuj „naprawiać w locie”).
Globalny handler wyjątków + spójna polityka komunikatów (przyjaźnie dla użytkownika, bez danych technicznych).
Logowanie + alerting (SRE/SEC) – powtarzalne błędy mogą sygnalizować atak (brute force, fuzzing).

Przykład (Java/Spring) – bezpieczny handler i rollback:

@RestControllerAdvice
public class GlobalExceptionHandler {

  @ExceptionHandler(Exception.class)
  public ResponseEntity<ApiError> handleAny(Exception ex, WebRequest req) {
    // Log szczegółowy trafia do SIEM, nie do użytkownika
    MDC.put("correlationId", UUID.randomUUID().toString());
    log.error("Unhandled exception", ex);

    // Użytkownik dostaje neutralny komunikat
    ApiError safe = new ApiError("Wystąpił błąd. Spróbuj ponownie później.");
    return ResponseEntity.status(HttpStatus.INTERNAL_SERVER_ERROR).body(safe);
  }
}

@Service
public class TransferService {
  @Transactional
  public void transferMoney(...) {
    // jeśli cokolwiek rzuci wyjątek -> @Transactional zapewni rollback (fail closed)
    // ...
  }
}

Przykład (Node.js/Express) – brak wycieków w błędach:

app.use((err, req, res, next) => {
  req.log?.error({ err }, "Unhandled error"); // szczegóły do logów
  res.status(500).json({ message: "Wystąpił błąd. Spróbuj ponownie." }); // bez stacktrace
});

Twarde limity i back-pressure (zapobieganie stanom wyjątkowym):

Rate limiting (np. NGINX, Envoy) i limity zasobów (CPU, RAM, otwarte pliki).
Circuit breaker/time-out/retry-with-jitter między usługami.

3) Misconfiguration hygiene

Kontrola konfiguracji jako kodu (GitOps, PR-y + review).
Skany konfiguracji (kube-bench, kube-lint, tfsec).
Separacja obowiązków w CI/CD; nikt nie powinien samodzielnie przepchnąć kodu do produkcji.

Różnice / porównania z innymi przypadkami

Względem 2021: z kategorii „komponenty podatne/przestarzałe” wyrósł pełny łańcuch dostaw (A03), co odzwierciedla ataki na ekosystem deweloperski i narzędzia (marketplace’y, rejestry, buildy). SSRF przestało być samotną wyspą—logicznie trafiło do Broken Access Control (#1). Security Misconfiguration rośnie, co dobrze koresponduje z IaC/K8s i „konfiguracją-jako-logiką”.

Podsumowanie / kluczowe wnioski

Myśl łańcuchowo: widoczność SBOM, podpisy, polityka źródeł, hardening pipeline’ów są równie ważne jak testy kodu.
Przewiduj wyjątkowe: ujednolicone, bezpieczne wzorce obsługi błędów, zasada „fail closed”, realny alerting i rollback.
Konfiguracja to kod: traktuj ją tak samo rygorystycznie (review, testy, skany).
Aktualizuj program szkoleniowy AppSec o nowe kategorie i mapowanie CWE/ATT&CK; przestaw wymagania na root cause zamiast pojedynczych symptomów.

Źródła / bibliografia

SecurityWeek: „Two New Web Application Risk Categories Added to OWASP Top 10”, 10 listopada 2025. (SecurityWeek)
OWASP Top 10:2025 RC1 – Introduction / What’s changed / Methodology. (OWASP)
OWASP Top 10:2025 RC1 – A03 Software Supply Chain Failures (opis, CWE, narzędzia). (OWASP)
OWASP Top 10:2025 RC1 – A10 Mishandling of Exceptional Conditions (opis, CWE, zalecenia). (OWASP)

CVE‑2014‑6271 — “Shellshock”

TL;DR

Shellshock (CVE‑2014‑6271) to krytyczna podatność RCE w GNU Bash (do 4.3 włącznie), która pozwala na wykonanie komend podczas parsowania zmiennych środowiskowych zawierających definicje funkcji. W praktyce była nadużywana głównie przez wektory HTTP/CGI (np. mod_cgi), ale także przez OpenSSH ForceCommand, klientów DHCP i inne komponenty, w których Bash jest odpalany po przekazaniu środowiska. Z perspektywy ATT&CK najlepiej mapuje się na T1190 (Initial Access), a dalsze uruchamianie komend — na T1059.004 (Unix Shell).

Krótka definicja techniczna

CVE‑2014‑6271 wynika z błędu w sposobie, w jaki Bash importuje funkcje ze środowiska: trailing‑string po definicji funkcji może zostać zinterpretowany jako komenda i wykonany w nowym procesie powłoki. Jeśli napastnik kontroluje wartości nagłówków/parametrów (np. przez CGI), osiąga zdalne wykonanie kodu (RCE) bez uwierzytelnienia.

Gdzie występuje / przykładowe platformy

Linux/UNIX (w tym macOS): serwery WWW z CGI (mod_cgi, mod_cgid), skrypty powłoki, usługi systemowe.
OpenSSH (ForceCommand): możliwość wstrzyknięcia przez SSH_ORIGINAL_COMMAND przy logowaniu do powłoki Bash.
Klienci DHCP (np. dhclient): złośliwe opcje DHCP jako nośnik.
Aplikacje/appliance’y sieciowe i środowiska kontenerowe: skrypty entrypoint, obrazy z podatnym Bashem; jeśli endpoint jest publiczny → T1190.
ESXi/appliance’y: niektóre systemy oparte o BusyBox/Bash (rzadziej), ale T1190 obejmuje też urządzenia brzegowe.
Chmury (AWS/Azure/GCP): po RCE na serwerze/pojemniku często obserwuje się dostęp do IMDS (169.254.169.254) w celu kradzieży poświadczeń — dalsze fazy.
AD/M365: brak typowych wektorów dla Shellshock — wpływ pośredni po uzyskaniu przyczółka na hostach Linux.

Szczegółowy opis techniki (jak działa, cele, dlaczego skuteczna)

Bash umożliwia „eksport” funkcji przez zmienne środowiskowe. W podatnych wersjach parser Basha wykonywał łańcuchy znaków następujące po definicji funkcji, co otwierało drogę do RCE, jeśli napastnik mógł wstrzyknąć zawartość środowiska (np. przez nagłówki HTTP obsługiwane przez CGI). Pierwsza łatka okazała się niepełna (CVE‑2014‑7169), co dodatkowo zwiększyło okno ryzyka. Skuteczność ataku wynikała z: (1) powszechności Basha, (2) prostoty ładunku, (3) wielu wektorów przekazania środowiska przez granicę zaufania (HTTP, SSH, DHCP). W efekcie w ciągu godzin od ujawnienia obserwowano zautomatyzowane skanowanie i budowanie botnetów DDoS.

Artefakty i logi

Warstwa	Źródło	Pole / EID	Wskaźnik / wzorzec	Notatki
Aplikacja WWW	Apache/nginx access/error	`User-Agent`, `Referer`, `URI`, status	Wzorzec funkcji Basha w nagłówkach/parametrach (np. sekwencja funkcja+trailing)	Często wzrost 4xx/5xx przed właściwym RCE
System (Linux)	`auditd`	`type=EXECVE`	Rodzic: `httpd`/`apache2`/`nginx`/`cgi-fcgi` → dziecko: `/bin/bash -c …`	Łańcuch procesów po RCE
System (Linux)	`syslog`/journald	komunikaty serwisu WWW/CGI	Nagłe spawny powłoki, błędy CGI	Koreluj z access logami
EDR/telemetria	Procesy/sieć	—	`bash` uruchomiony przez konto serwisu WWW + wyjścia do Internetu	W tym wywołania narzędzi typu `curl/wget`
Chmura AWS	CloudTrail	`userAgent`, `sourceIPAddress`, `eventName`	Po RCE — nagłe API (np. `ListBuckets`, `GetCallerIdentity`, `AssumeRole`) z roli instancji / nietypowe UA	Często po próbie dostępu do 169.254.169.254 (IMDS) z hosta ofiary.
K8s	Audit log	`verb`, `objectRef`, `userAgent`	Niespodziewane `create pods/exec`/`attach` z SA serwisu WWW; enumeracja `secrets`	Efekt wtórny po RCE w podzie
M365	Unified Audit Log	—	[brak bezpośredniego wektora]	Koreluj tylko, gdy atak przechodzi w chmurę SaaS

Detekcja (praktyczne reguły)

Sigma (HTTP/CGI — próby Shellshock)

title: Possible Shellshock Attempt in HTTP Headers
id: 6b7e2d8d-2a0e-4b6b-9c5f-3d7a5f2d1b01
status: experimental
description: Wykrywa klasyczne wzorce importu funkcji Bash w nagłówkach/URI (np. wzorzec funkcja + trailing), charakterystyczne dla Shellshock.
author: Badacz CVE
date: 2025/11/08
references:
  - https://nvd.nist.gov/vuln/detail/CVE-2014-6271
tags:
  - attack.T1190
  - cve.2014-6271
logsource:
  category: webserver
detection:
  sel_any_header:
    c-uri|contains:
      - "(){"
      - "%28%29%7B"    # URL‑encoded
    cs-user-agent|contains:
      - "(){"
      - "%28%29%7B"
    cs-referer|contains:
      - "(){"
      - "%28%29%7B"
  condition: sel_any_header
fields:
  - src_ip
  - http.request_referrer
  - http.user_agent
  - url
  - status
falsepositives:
  - Skany bezpieczeństwa/WAF test strings
level: high

Splunk (web access → wzorzec + łańcuch procesów)

(index=web OR index=proxy) (sourcetype=apache:* OR sourcetype=nginx:* OR sourcetype=haproxy*)
| eval raw=coalesce(cs_User_Agent," ") . " " . coalesce(cs_Referer," ") . " " . coalesce(uri," ") . " " . coalesce(query," ")
| where match(raw, "\\(\\)\\s*\\{\\s*:\\s*;\\s*\\}")
| stats count earliest(_time) as first latest(_time) as last by src_ip, cs_User_Agent, uri, status

Korelacja (Splunk) — procesy na hoście Linux (jeśli zbierasz dzienniki systemowe/EDR):

index=os_linux (sourcetype=auditd OR sourcetype=sysmon_linux OR sourcetype=edr*)
| where (parent_process IN ("httpd","apache2","nginx","lighttpd","cgi-fcgi") AND process IN ("bash","sh") )
| stats values(process_cmdline) as cmd by host, parent_process, user, process

KQL (Defender for Endpoint / Azure)

// RCE → bash uruchomiony przez proces WWW
DeviceProcessEvents
| where OSPlatform in ("Linux","macOS")
| where InitiatingProcessFileName in~ ("httpd","apache2","nginx","lighttpd","cgi-fcgi")
| where FileName in~ ("bash","sh")
| extend suspicious = iif(ProcessCommandLine has_any ("() {","%28%29%7B"), 1, 0)
| project Timestamp, DeviceName, InitiatingProcessFileName, FileName, ProcessCommandLine, suspicious

CloudTrail (CloudWatch Logs Insights) – post‑exploitation z roli instancji

fields @timestamp, eventSource, eventName, userAgent, sourceIPAddress, awsRegion
| filter eventCategory="Management"
| filter userAgent like /aws-cli|Boto|Go-http-client|curl|wget|python-requests/i
| filter eventName in ("GetCallerIdentity","AssumeRole","ListBuckets","GetObject","DescribeInstances","ListAccessKeys")
| sort @timestamp desc
| limit 200

Uzasadnienie: po RCE atakujący często odczytuje IMDS 169.254.169.254 i zaczyna wykonywać API przy użyciu roli instancji. Monitorowanie userAgent i nietypowej sekwencji API pomaga to wyłapać.

Elastic EQL (host Linux — łańcuch WWW → powłoka)

process where host.os.type == "linux" and
  process.name in ("bash","sh") and
  process.parent.name in ("httpd","apache2","nginx","lighttpd","cgi-fcgi")

Heurystyki / korelacje (co łączyć)

Anomalia HTTP → 4xx/5xx/niestandardowe metody/URI → spawn powłoki przez proces WWW → wyjście sieciowe lub IMDS 169.254.169.254 → aktywność API w CloudTrail.
Jednorodny UA/źródła IP atakujące wiele hostów + identyczne wzorce nagłówków = kampania skanowania.
Po RCE: zapis webshella (T1505.003) lub pobranie binarek (T1105) — koreluj z tworzeniem nietypowych plików w katalogach serwisu WWW.

False positives / tuning

Skany bezpieczeństwa/WAF test strings — przepuść przez allow‑listy znanych skanerów i Twoich narzędzi QA.
Zaszyfrowane/URL‑encoded warianty — rozszerz regex (np. %28%29%7B).
Reverse proxy — upewnij się, że widoczny jest oryginalny UA i IP (X‑Forwarded‑For).
Systemy bez CGI — same ślady w logach HTTP ≠ RCE: szukaj łańcucha procesów (rodzic WWW → bash).

Playbook reagowania (IR)

Blokada na brzegu: reguły WAF/IPS dla wzorca funkcji Basha; tymczasowe ograniczenie dozwolonych metod/ścieżek.
Izolacja hosta (serwer/Pod) + snapshot dysku/pamięci.
Triage artefaktów: access/error logs, auditd, łańcuch procesów, nowe pliki w docroot, klucze/sekrety.
Weryfikacja IMDS/poświadczeń: sprawdź ruch do 169.254.169.254 i następujące wpisy w CloudTrail; rotacja kluczy/rol.
Patching Bash do wersji załatanej (dystrybucyjny update), weryfikacja wyłączenia/ograniczenia CGI.
Hunting w SIEM: zapytania z sekcji 7 na całą flotę.
Hardening: wymuś IMDSv2, segmentację DMZ, least‑privilege dla kont serwisów.

Przykłady z kampanii / case studies

Szybka weaponizacja (2014): w ciągu doby od ujawnienia powstały botnety DDoS; liczne ataki obserwowali m.in. Kaspersky i media branżowe.
Raporty vendorów/CSIRT: Cisco Talos dokumentował masowe próby eksploatacji w sieci; Akamai opisywał rekrutację hostów do botnetów.

Lab — przykładowe kroki

Cel: przetestować detekcje bez wykonywania exploita. Wykorzystujemy syntetyczne dane i odizolowane środowisko testowe.

Symulacja logów HTTP: wygeneruj sztuczne wpisy access.log zawierające charakterystyczny wzorzec funkcji Basha w formie zanonimizowanej (bez komend), np. () { :; }; <marker>; wgraj plik do SIEM i uruchom reguły z pkt 7.
Symulacja łańcucha procesów: w kontenerze testowym uruchom skrypt, który (lokalnie) tworzy proces bash jako dziecko procesu o nazwie „httpd” (np. wrapper), tak aby telemetria EDR/auditd wygenerowała ślad parent=apache2 -> bash — bez wykonywania zewnętrznych komend.
Symulacja post‑exploitation w chmurze: używając konta testowego z rolą instancji, wykonaj bezpieczne GetCallerIdentity i ListBuckets, aby sprawdzić reguły CloudTrail (CloudWatch Logs Insights) — wyłącznie w środowisku testowym.

Uwaga: celem jest walidacja detekcji i playbooków IR zgodnie z zasadami bezpieczeństwa.

Mapowania (Mitigations, powiązane techniki)

Mitigacje ATT&CK:

M1051 – Update Software: szybkie łatanie Basha/aplikacji publicznych.
M1031 – Network Intrusion Prevention: sygnatury na brzegach/WAF/IPS dla typowych wzorców Shellshock.
M1030 – Network Segmentation: separacja DMZ i serwerów publicznych.
M1040 – Behavior Prevention on Endpoint: blokowanie podejrzanych łańcuchów procesów (WWW→bash).
M1016 – Vulnerability Scanning: regularne skany z szybkim SLA na krytyczne ujawnienia.

Powiązane techniki:

T1059.004 – Unix Shell (wykonanie komend po RCE).
T1505.003 – Web Shell (utrwalenie po pierwszym włamaniu).
T1105 – Ingress Tool Transfer (dociągnięcie narzędzi po uzyskaniu RCE).
T1190 – Exploit Public‑Facing Application (wektor wejścia).

Źródła / dalsza literatura

NVD: opis, CVSS 9.8/10.0 i wektory (Apache CGI, ForceCommand, DHCP). (NVD)
CVE.org: rekord CVE‑2014‑6271. (CVE)
Red Hat: strona podatności Shellshock (jak działa, zalecenia). (Red Hat Customer Portal)
CERT/CC VU#252743: nota o wykonaniu komend przez eksport funkcji. (kb.cert.org)
CISA/US‑CERT: alerty o rodzinie błędów Bash (CVE‑2014‑7169 i pokrewne). (CISA)
MITRE ATT&CK: T1190 (Initial Access) i T1059.004 (Unix Shell). (MITRE ATT&CK)
Przykłady „in‑the‑wild”: Wired (botnety), Cisco Talos, Akamai. (WIRED)
IMDS (AWS/Azure): dokumentacja i wskazówki detekcyjne. (AWS Documentation)

Checklisty dla SOC / CISO

SOC (operacyjne):

WAF/IPS: aktywne sygnatury na wzorce Shellshock (w tym URL‑encoded).
Reguły SIEM: HTTP wzorce + łańcuch WWW → bash + próby IMDS + CloudTrail sekwencje z roli instancji.
Hunting: poszukaj procesów bash z rodzicem httpd/apache2/nginx w całej flocie.
Telemetria: włącz auditd/EDR na hostach Linux oraz pełne access/error logs.
Kwarantanna + rotacja kluczy po wykryciu nadużyć API.

CISO (strategiczne):

Polityka patch management dla komponentów publicznych (SLA dla krytycznych CVE).
Segmentacja DMZ i minimalne uprawnienia kont serwisowych.
IMDSv2 tylko + kontrola egress do 169.254.169.254 z usług WWW.
Testy podatności i testy regresji detekcji (syntetyczne dane, bez exploitów).
Przeglądy architektury: unikać CGI/Bash w ścieżkach request‑handling.

CVE-2014-4114 — Windows OLE RCE „Sandworm”

TL;DR

CVE‑2014‑4114 to podatność w Windows OLE wykorzystywana m.in. przez Sandworm do zdalnego uruchamiania kodu po otwarciu spreparowanego pliku Office (najczęściej PPSX/PowerPoint). Sztuczka polega na pobraniu zdalnego .INF i wykonaniu go przez rundll32 -> setupapi.dll,InstallHinfSection lub advpack.dll,LaunchINFSection, co inicjuje uruchomienie docelowego droppera. Detekcja: łańcuch POWERPNT.EXE → rundll32.exe z argumentami InstallHinfSection/LaunchINFSection, pobrania po SMB/WebDAV, ślady w setupapi.app.log. Łatanie: MS14‑060 (KB3000869); tymczasowe obejścia: wyłączenie WebClient, blokada TCP 139/445, usunięcie „Install” verb dla .INF.

Krótka definicja techniczna

CVE‑2014‑4114 to błąd w obsłudze obiektów OLE w Windows pozwalający na zdalne wykonanie kodu po otwarciu pliku Office zawierającego specjalnie przygotowany obiekt OLE odwołujący się do zasobu INF/EXE w nieufnej lokalizacji (UNC/WebDAV). Otwarcie dokumentu inicjuje pobranie i wykonanie instrukcji z INF bez dodatkowych promptów, prowadząc do uruchomienia droppera w kontekście bieżącego użytkownika.

Gdzie występuje / przykłady platform

Windows: Vista SP2, 7 SP1, 8/8.1; Server 2008/2008 R2/2012/2012 R2; także RT (wg MS14‑060/NVD).
Active Directory: stacje członkowskie domeny (otwieranie załączników w środowisku korporacyjnym).
M365: poczta (spearphishing attachment), logi Defender for Office/Endpoint.
Chmury (AWS/Azure/GCP): dotyczy Windows VM/VDI/WorkSpaces – podatna jest gościnna warstwa OS, nie IaaS; telemetria może trafiać do CloudWatch/Log Analytics/SIEM.
Kubernetes/ESXi: brak bezpośredniego wpływu na control plane; dotyczy gości Windows w VM.

Szczegółowy opis techniki (jak działa, cele, skuteczność)

Kampanie z 2014 r. wykorzystywały PPSX z dwoma osadzonymi obiektami OLE o ścieżkach zdalnych: np. slide1.gif (faktycznie EXE) i slides.inf. PowerPoint pobierał oba pliki z udziału UNC/WebDAV bez ostrzeżeń; .INF zmieniał nazwę pliku na .exe i go uruchamiał (dropper BlackEnergy). Mechanizm aktywacji bazował na wywołaniu rundll32.exe z setupapi.dll,InstallHinfSection lub advpack.dll,LaunchINFSection. Skuteczność: wysoki poziom soc‑eng (pliki show), minimalna interakcja, obejście promptów UAC dla .PPSX odnotowane przez Microsoft.

Artefakty i logi (co zbierać)

Źródło	ID / pole	Wskaźnik / wzorzec	Uwagi
Windows Security	4688 (Process Creation)	`ParentImage=\POWERPNT.EXE` → `Image=\\rundll32.exe` z `CommandLine` zawierającą `setupapi.dll,InstallHinfSection` lub `advpack.dll,LaunchINFSection`	Kluczowy łańcuch egzekucji.
Sysmon	1/ProcCreate, 3/NetConnect, 11/FileCreate, 22/DNS	Połączenia do `\\host\share\...` / WebDAV (`Microsoft-WebDAV-MiniRedir`), tworzenie `.inf`/`.gif.exe` w `%TEMP%`	Wzorce WebDAV/SMB.
SetupAPI log	`%windir%\inf\setupapi.app.log`	Wpisy z instalacji aplikacyjnej/INF (po włączeniu logowania)	Domyślnie wyłączone; można włączyć przez `LogLevel`.
M365 Defender (AH)	EmailEvents / EmailAttachmentInfo	Załącznik PPS/PPSX od nadawcy zewn., motyw soc‑eng	Dla fazy dostarczenia.
MDE/Defender AV	Wykrycie: `Exploit:Win32/CVE-2014-4114`	Alerty/exclusions	Historyczne sygnatury.
Firewall/Proxy	HTTP/WebDAV, SMB (139/445)	Pobranie `slides.inf` / `*.gif` z zewnętrznych hostów	Blokady portów ograniczają wektor.

Detekcja (praktyczne reguły)

Sigma (Windows / process_creation)

title: Office -> Rundll32 INF Execution (CVE-2014-4114 Sandworm)
id: 7c9f9d4a-b0c6-4f7f-9e5b-b2c3d1e0c414
status: experimental
logsource:
  product: windows
  category: process_creation
detection:
  parent_office:
    ParentImage|endswith:
      - \POWERPNT.EXE
      - \WINWORD.EXE
      - \EXCEL.EXE
  child_rundll:
    Image|endswith: \rundll32.exe
  cli_inf:
    CommandLine|contains:
      - 'setupapi.dll,InstallHinfSection'
      - 'advpack.dll,LaunchINFSection'
  condition: parent_office and child_rundll and cli_inf
fields:
  - UtcTime
  - User
  - ParentImage
  - Image
  - CommandLine
falsepositives:
  - Rzadkie instalacje driverów/INF wywołane z Office (bardzo mało prawdopodobne)
level: high
tags:
  - attack.T1203
  - attack.T1204.002
  - attack.T1566.001
  - cve.2014-4114

Splunk (Security 4688 / Sysmon 1)

(index=win* (sourcetype="WinEventLog:Security" EventCode=4688) OR (sourcetype="XmlWinEventLog:Microsoft-Windows-Sysmon/Operational" EventCode=1))
| eval parent=coalesce(ParentProcessName, ParentImage), img=coalesce(NewProcessName, Image)
| search parent="*\\POWERPNT.EXE" OR parent="*\\WINWORD.EXE" OR parent="*\\EXCEL.EXE"
| search img="*\\rundll32.exe"
| search CommandLine="*setupapi.dll,InstallHinfSection*" OR CommandLine="*advpack.dll,LaunchINFSection*"
| table _time host user parent img CommandLine
| sort - _time

KQL (Microsoft 365 Defender – Advanced Hunting)

DeviceProcessEvents
| where InitiatingProcessFileName in~ ("POWERPNT.EXE","WINWORD.EXE","EXCEL.EXE")
| where FileName =~ "rundll32.exe"
| where ProcessCommandLine has_any ("setupapi.dll,InstallHinfSection","advpack.dll,LaunchINFSection")
| project Timestamp, DeviceName, InitiatingProcessFileName, FileName, ProcessCommandLine, InitiatingProcessVersionInfoCompanyName
| order by Timestamp desc

AWS CloudWatch Logs Insights (Windows Event Forwarding do CWL)

fields @timestamp, Computer, EventID, @message
| filter EventID=4688
| filter like(@message, /rundll32\.exe/) 
  and (like(@message, /setupapi\.dll,InstallHinfSection/) or like(@message, /advpack\.dll,LaunchINFSection/))
| sort @timestamp desc

Elastic (EQL)

sequence by host.id with maxspan=2m
  [process where process.name : ("POWERPNT.EXE","WINWORD.EXE","EXCEL.EXE")]
  [process where process.name : "rundll32.exe" and
           process.command_line : ("*setupapi.dll,InstallHinfSection*","*advpack.dll,LaunchINFSection*")]

Heurystyki / korelacje

Łańcuch procesu: Office (POWERPNT/WINWORD) → rundll32.exe → (ew. dalsze) cmd.exe/msiexec.exe/regsvr32.exe.
Sieć: pobrania z UNC/WebDAV (user‑agent Microsoft-WebDAV-MiniRedir) w bliskim czasie od otwarcia dokumentu.
Pliki tymczasowe: *.inf / pseudo‑obraz *.gif → późniejszy *.exe w %TEMP%.
Logi SetupAPI: ślady w setupapi.app.log (po włączeniu).
Poczta: korelacja EmailEvents z kliknięciem/otwarciem załącznika i telemetrią endpoint.

False positives / tuning

Instalacje sterowników/oprogramowania wyzwalające InstallHinfSection/LaunchINFSection, ale zwykle nie z rodzicem Office.
Drivery producentów (podpisane, ścieżki C:\Windows\INF\*): wykluczyć po wydawcy, ścieżce, hashu.
Tuning: wymagaj rodzica Office, zdalnej ścieżki (UNC/WebDAV), nietypowych INF w %TEMP%, braku podpisu lub nietypowych domen.

Playbook reagowania (IR)

Triaging & Containment: izoluj host; zablokuj domenę/UNC/WebDAV wskazany w artefaktach (FW/DNS/Proxy).
Hunting szeroki (24–72 h): zapytania z sekcji 7 (AH/SIEM). Zidentyfikuj wszystkie hosty z łańcuchem Office→rundll32/INF.
Forensics szybkie:
- Zabezpiecz pliki z %TEMP% i %WINDIR%\INF\setupapi.app.log.
- Zrzut listy procesów/połączeń (tasklist /v, netstat -ano), timeline plików.
Eradykacja: usuń droppery, zabroń WebDAV/SMB egress do Internetu; wdroż KB3000869 jeśli dotyczy dziedzictwa.
Recovery: weryfikacja integralności, rotacja poświadczeń, obserwacja anomalii.
Lessons Learned: reguły detekcyjne do stałego monitoringu; wymuś blokady z pkt 11 (workarounds).

Przykłady z kampanii / case studies

BlackEnergy/Sandworm (2014): PPSX zawierał dwa obiekty OLE (zdalne): slide1.gif (dropper, faktycznie EXE) i slides.inf. INF zmieniał nazwę i uruchamiał droppera — bez dodatkowych promptów PowerPoint.
Sandworm Team (G0034): wykorzystywał CVE‑2014‑4114 w PowerPoint (OLE) oraz CVE‑2013‑3906 (TIFF/Word). Cele: NATO, UE, sektor energii/telekom.

Lab (bezpieczne testy)

Celem jest generacja artefaktów/detekcji, nie eksploatacja.

A. Symulacja INF (ADVPACK) – bezpieczne uruchomienie Notepad

Zapisz plik test.inf (np. C:\Temp\test.inf):

[Version]
Signature="$Windows NT$"

[DefaultInstall]
RunPreSetupCommands=DoRun

[DoRun]
%11%\\notepad.exe

Uruchom:

rundll32.exe advpack.dll,LaunchINFSection C:\Temp\test.inf,DefaultInstall

Powinno wygenerować proces rundll32.exe z LaunchINFSection (detekcje z sekcji 7).

B. Artefakty SetupAPI
Włącz logowanie SetupAPI (na czas testu), następnie uruchom test z pkt A i sprawdź %windir%\inf\setupapi.app.log.

Mapowania (Mitigations, powiązane techniki)

Mitigations (ATT&CK):

M1051 – Update Software: zastosuj MS14‑060/KB3000869 na hostach dziedzicznych.
M1037 – Filter Network Traffic / M1035 – Limit Access to Resource Over Network: blokuj SMB 139/445 egress, ogranicz WebDAV (usługa WebClient).
M1042 – Disable or Remove Feature or Program: usuń „Install” verb dla .INF (tymczasowe obejście).
M1017 – User Training: phishing awareness (załączniki PPSX).

Powiązane techniki ATT&CK:

T1566.001 – Spearphishing Attachment (wektor wejścia)
T1204.002 – User Execution: Malicious File (akcja użytkownika)
T1105 – Ingress Tool Transfer (transfer droppera)
T1027 – Obfuscated/Compressed Files (kamuflaż plików, np. „gif.exe”)

Źródła / dalsza literatura

Microsoft: MS14‑060 – Vulnerability in Windows OLE (KB3000869), obejścia (WebClient/SMB/INF) i lista systemów. (Microsoft Learn)
ESET (WeLiveSecurity): szczegóły kampanii PPSX + slides.inf + slide1.gif (BlackEnergy). (We Live Security)
MITRE ATT&CK: T1203 – Exploitation for Client Execution, w tym odniesienie do CVE‑2014‑4114/Sandworm. (MITRE ATT&CK)
MITRE ATT&CK – Sandworm Team (G0034). (MITRE ATT&CK)
NVD: wpis CVE‑2014‑4114 (zakres i opis). (NVD)
Microsoft Docs: InstallHinfSection (SetupAPI) i log setupapi.app.log. (Microsoft Learn)
IE/ADVPACK: LaunchINFSection (przykłady użycia). (Microsoft Learn)
Palo Alto Unit42: kontekst OLE/PowerPoint i ryzyko zdalnych zasobów. (Unit 42)

Uwaga dot. łat: tuż po MS14‑060 zgłaszano obejścia prowadzące do kolejnych CVE; w środowiskach legacy sprawdź też późniejsze uaktualnienia.

Checklisty dla SOC / CISO

SOC (operacyjne):

Włącz/zweryfikuj reguły: Office→rundll32 InstallHinfSection/LaunchINFSection.
Monitoruj WebDAV/SMB egress oraz setupapi.app.log.
Koreluj EmailEvents ↔ DeviceProcessEvents (M365).
Hunt retro (90 dni) za łańcuchem POWERPNT/WINWORD → rundll32.
Utrzymuj allow‑list INF/sterowników; alertuj INF z %TEMP%.

CISO (strategiczne):

Polityka: blokady SMB i WebDAV na brzegu/na hostach.
Wymuszenie łat (M1051) na hostach z Windows 7/8/8.1/2008/2012.
Program szkoleniowy phishing + polityki załączników (PPSX).
Testy tabletop IR dla scenariusza „złośliwy INF/Office”.

CVE-2014-0160 — „Heartbleed” (OpenSSL TLS/DTLS Heartbeat memory disclosure)

TL;DR

Heartbleed to krytyczna luka w OpenSSL 1.0.1–1.0.1f (oraz 1.0.2‑beta/beta1), w implementacji rozszerzenia TLS/DTLS Heartbeat (RFC 6520). Błędny brak kontroli długości powoduje odczyt do 64 KB pamięci procesu na żądanie, co umożliwia wyciek kluczy prywatnych, haseł, tokenów i ciasteczek sesyjnych — bez śladów w standardowych logach. Naprawa: OpenSSL 1.0.1g lub kompilacja z -DOPENSSL_NO_HEARTBEATS, plus rotacja kluczy/certyfikatów i reset sesji/haseł. CVSS v3.1: 7.5 (HIGH).

Krótka definicja techniczna

CVE‑2014‑0160 to buffer over-read w funkcjach przetwarzających komunikaty Heartbeat w OpenSSL (TLS i DTLS). Złośliwy pakiet żąda odesłania większej liczby bajtów niż faktyczny payload, co skutkuje ujawnieniem fragmentu pamięci procesu serwera/klienta. Błąd dotyczy OpenSSL 1.0.1 (do 1.0.1f włącznie) i został naprawiony w 1.0.1g (07.04.2014).

Gdzie występuje / przykłady platform

Linux/Unix: usługi HTTPS (Apache/Nginx), proxy, poczta (IMAPS/POP3S/SMTPS), VPN (np. OpenVPN), serwery aplikacyjne — jeśli linkują do OpenSSL 1.0.1*. Przykładowe dystrybucje z podatnymi pakietami: Debian Wheezy, Ubuntu 12.04.4, CentOS 6.5, FreeBSD 10.0 itd.
Urządzenia/IoT/appliance: część routerów/telefonów VoIP/przełączników używających OpenSSL 1.0.1* (stan historyczny).
Windows/AD: IIS/Schannel nie były podatne; ryzyko dotyczy aplikacji na Windows, które samodzielnie używały podatnego OpenSSL.
Chmury: własne instancje/obrazy z OpenSSL 1.0.1*, komponenty kontenerowe; w AWS/Azure/GCP po stronie klientów/serwerów, a także wszędzie tam, gdzie terminacja TLS odbywa się na oprogramowaniu z OpenSSL 1.0.1*. (Do detekcji przydają się logi IDS oraz logi operacji na certyfikatach, np. ACM/CloudTrail).

Szczegółowy opis techniki (jak działa, cele, dlaczego skuteczna)

Rozszerzenie TLS/DTLS Heartbeat (RFC 6520) pozwala okresowo „pingować” drugą stronę bez renegocjacji. W podatnych wersjach OpenSSL błędnie ufano deklarowanej długości payloadu. Napastnik wysyła HeartbeatRequest z małym payloadem i zawyżoną długością; OpenSSL odsyła żądaną liczbę bajtów, dogaszając brakujące bajty z pamięci procesu (do 64 KB na żądanie). Atak można wykonywać wielokrotnie, aż do pozyskania wartościowych artefaktów (klucze prywatne X.509, hasła, tokeny sesji). Naprawa w 1.0.1g dodała kontrolę zakresu i odrzucanie niepoprawnych żądań. Skuteczność ataku wynika z: (1) prostoty (brak uwierzytelnienia), (2) braku śladów w typowych logach aplikacji, (3) wysokiej wartości wycieku (tajemnice kryptograficzne).

Artefakty i logi (SOC)

Źródło/log	Pole/artefakt	Wzorzec/anomalia	Uwagi
IDS (Suricata/Snort)	`alert.signature` / `event.signature`	„Heartbleed” / „OpenSSL TLS heartbeat read overrun” / „CVE‑2014‑0160”	SIDs Snort VRT: 30510–30517 (GID 1). Najpewniejszy sygnał.
Zeek	`notice` / skrypt `ssl/heartbleed`	Alerty dot. niepoprawnych rekordów Heartbeat	Wsparcie dodane 2014‑04‑08.
ALB/ELB (AWS) – Connection/Access Logs	TLS pola: protokół, cipher, status/`connection_status`	Piki błędów/nieudanych handshake (pośrednio); korelować z alarmami IDS	Do analizy zmian wzorców TLS, nie wykrywa samego Heartbleed.
CloudTrail (AWS ACM/IAM/ACM‑PCA)	`eventName`	`ImportCertificate`, `RequestCertificate`, `UpdateServerCertificate`, `DeleteServerCertificate`	Ślad rotacji certyfikatów po łataniu/kompromitacji.
Web serwer (Apache/Nginx)	error/access	Nietypowe resety połączeń, wzrost 4xx/5xx (wtórnie)	Korelacja pomocnicza; zapis TLS payloadu brak. [Uzupełniające]
Windows EID	—	—	Schannel/IIS niepodatne; brak natywnych EID dla samej luki. [N/D]
K8s audit	`patch/update` na `Deployment/Pod`	Rolling update obrazów po aktualizacji OpenSSL	Artefakt zmian remediacyjnych, nie wykrycia. [Ogólne]

Detekcja (praktyczne reguły)

Sigma (IDS → SIEM)

title: Heartbleed (CVE-2014-0160) Detected by IDS
id: 1e1a5bb3-9e6f-45f0-9d7e-ids-heartbleed
status: stable
description: Alerty IDS/IPS wskazujące na próby/wykrycia ataku Heartbleed.
references:
  - https://nvd.nist.gov/vuln/detail/CVE-2014-0160
  - https://blog.snort.org/2014/04/sourcefire-vrt-certified-snort-rules_8.html
  - https://zeek.org/2014/04/detecting-the-heartbleed-bug-using-bro/
logsource:
  product: network
  service: ids
detection:
  selection:
    signature|contains:
      - 'Heartbleed'
      - 'heartbeat read overrun'
      - 'CVE-2014-0160'
    # alternatywnie dla Suricata EVE:
    alert.signature|contains:
      - 'Heartbleed'
      - 'heartbeat read overrun'
  condition: selection
fields:
  - src_ip
  - dest_ip
  - dest_port
  - signature
  - classification
falsepositives:
  - Rzadkie; możliwe skanery audytowe (np. nmap ssl-heartbleed)
level: high
tags:
  - attack.T1190
  - attack.T1212

(Źródła reguł i nazewnictwa sygnatur: Snort VRT SIDs 30510–30517; Zeek script ssl/heartbleed.)

Splunk (SPL)

(index=ids (sourcetype=suricata OR sourcetype=snort) OR source="*eve.json")
| spath
| eval sig=coalesce('alert.signature','signature')
| search sig="*Heartbleed*" OR sig="*heartbeat read overrun*" OR sig="*CVE-2014-0160*"
| stats earliest(_time) as first latest(_time) as last values(dest_port) count by src_ip dest_ip sig
| convert ctime(first) ctime(last)

KQL (Microsoft Sentinel / Log Analytics)

Opcja A – CommonSecurityLog (appliance IDS):

CommonSecurityLog
| where DeviceVendor in~ ("Snort","Suricata")
| where Message has_any ("Heartbleed","heartbeat read overrun","CVE-2014-0160")
| summarize cnt=count(), first=min(TimeGenerated), last=max(TimeGenerated) by SourceIP, DestinationIP, DestinationPort, Message

Opcja B – własna tabela SuricataEve_CL:

SuricataEve_CL
| where event_type_s == "alert"
| where alert_signature_s has_any ("Heartbleed","heartbeat read overrun","CVE-2014-0160")
| summarize cnt=count(), first=min(TimeGenerated), last=max(TimeGenerated) by src_ip_s, dest_ip_s, dest_port_d, alert_signature_s

CloudTrail Lake (AWS) — ślad rotacji certyfikatów po incydencie

SELECT eventTime, eventSource, eventName,
       userIdentity.accountId AS account, userIdentity.type AS actorType,
       requestParameters.certificateArn AS certArn
FROM   aws_cloudtrail_logs
WHERE  eventSource IN ('acm.amazonaws.com','iam.amazonaws.com','acm-pca.amazonaws.com')
  AND  eventName   IN ('ImportCertificate','RequestCertificate','UpdateServerCertificate','DeleteServerCertificate')
  AND  eventTime BETWEEN from_iso8601_timestamp('2025-11-01T00:00:00Z') AND from_iso8601_timestamp('2025-11-08T23:59:59Z')
ORDER BY eventTime DESC;

(Dokumentacja CloudTrail/ACM potwierdza logowanie tych akcji.)

Elastic / EQL / Kibana KQL

EQL:

network where event.module == "suricata" and event.kind == "alert" and
 (suricata.eve.alert.signature : "*Heartbleed*" or
  suricata.eve.alert.signature : "*heartbeat read overrun*")

Kibana KQL:

event.module:"suricata" and event.kind:"alert" and suricata.eve.alert.signature:("*Heartbleed*" OR "*heartbeat read overrun*" OR "*CVE-2014-0160*")

Heurystyki / korelacje (co łączyć)

Korelacja IDS ↔ rotacja certyfikatów: alerty Heartbleed na IP serwera + w ciągu 24–72 h zdarzenia ImportCertificate/UpdateServerCertificate (CloudTrail) ⇒ potwierdzenie remediacji lub panic‑rotacji.
Anomalie ruchu TLS: wzrost krótkich połączeń do 443/IMAPS/SMTPS z tej samej klasy adresów podczas skanów/eksfiltracji. [wspierające]
Ryzyko wtórne: po wycieku klucza prywatnego — podszywanie się (MITM) i odszyfrowanie zarejestrowanego ruchu bez PFS; korelować z wymianą certyfikatów i wymuszaniem PFS.

False positives / tuning

Fałszywe pozytywy są rzadkie — sygnatury na poziomie TLS są precyzyjne. Najczęstsze przypadki: testy nmap ssl-heartbleed lub skanery zgodności. Whitelistuj źródła skanerów.
Brak alertu ≠ brak ataku — historycznie ataki nie musiały zostawiać śladów w logach aplikacyjnych; rely na IDS/Zeek.

Playbook reagowania (IR)

Izolacja & inwentarz: zidentyfikuj hosty z OpenSSL 1.0.1–1.0.1f/1.0.2‑beta*.
Łatowanie: aktualizacja do OpenSSL 1.0.1g lub nowszej gałęzi; alternatywnie rekompilacja z -DOPENSSL_NO_HEARTBEATS (krótkoterminowo).
Rotacja kryptografii: wygeneruj nowe klucze prywatne, ponownie wydaj certyfikaty, unieważnij stare (CRL/OCSP); w chmurze weryfikuj ślad w CloudTrail (ACM/IAM/ACM‑PCA).
Unieważnienie sesji: wymuś re‑logowanie użytkowników, rotuj tokeny/cookies.
Reset haseł: jeśli wyciek dotyczył serwisów z authem — wymuś zmianę.
Hunting: przeszukaj IDS/Zeek pod kątem wzorców Heartbleed i anomalii TLS; koreluj ze zmianami certyfikatów.
Komunikacja: zgodnie z wymogami regulacyjnymi (np. healthcare — przykłady incydentów niżej).

Przykłady z kampanii / case studies

Canada Revenue Agency (CRA) — kradzież 900 numerów SIN w oknie 6h tuż po ujawnieniu luki; zatrzymano podejrzanego.
Mumsnet (UK) — reset ~1,5 mln haseł po incydencie powiązanym z Heartbleed.
Community Health Systems (USA) — wyciek danych 4,5 mln pacjentów; wektor przypisano exploitacji Heartbleed.
Konsekwencje systemowe — Heartbleed przyspieszył powstanie Core Infrastructure Initiative (funding krytycznych OSS).

Lab — przykładowe komendy

Wyłącznie w kontrolowanym środowisku i na własnych hostach.
Celem jest weryfikacja detekcji, nie ofensywa.

Uruchomienie podatnego serwisu (Docker):

# przykładowy obraz demo (podatny OpenSSL)
docker run -d --name hb -p 8443:443 vulnerables/cve-2014-0160

Test wykrycia (Nmap NSE – bezpieczne sprawdzenie):

nmap -p 8443 --script ssl-heartbleed 127.0.0.1

(Nmap skrypt ssl-heartbleed jednoznacznie wskazuje podatność.)

IDS/Zeek:

Włącz reguły ET/Suricata lub Snort VRT (SIDs 30510–30517).
Zeek: załaduj skrypt policy/protocols/ssl/heartbleed.bro (obecnie w master).

Mapowania (Mitigations, powiązane techniki)

Mitigations (ATT&CK Enterprise):

M1051 Update Software — szybkie łatowanie (OpenSSL ≥1.0.1g).
M1031 Network Intrusion Prevention — IDS/IPS z sygnaturami Heartbleed.
(Dodatkowo) M1048 Application Isolation and Sandboxing, M1050 Exploit Protection — ograniczenie skutków.

Powiązane techniki ATT&CK:

T1190 Exploit Public-Facing Application — wektor wejścia.
T1212 Exploitation for Credential Access — pozyskanie sekretów.
T1210 Exploitation of Remote Services — ruch boczny po kompromitacji.

Źródła / dalsza lektura

NVD — opis i CVSS v3.1: 7.5 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N). (NVD)
Heartbleed.com — zakres wersji i kontekst operacyjny. (heartbleed.com)
RFC 6520 — TLS/DTLS Heartbeat Extension. (RFC Editor)
OpenSSL 1.0.1g — release notes (fix CVE‑2014‑0160). (slackware.cs.utah.edu)
CISA alert — charakterystyka luki i wyciek porcji 64 KB. (CISA)
Snort/Suricata — sygnatury wykrywające Heartbleed (SIDs 30510–30517) + dokumentacja aktualizacji reguł. (Snort Blog)
Zeek — detekcja Heartbleed. (Zeek)
AWS — CloudTrail/ACM (logowanie operacji na certyfikatach) i Connection Logs ALB. (AWS Documentation)
Case studies: CRA, CHS, Mumsnet. (TIME)

Checklisty dla SOC / CISO

SOC (operacyjnie):

Włączone reguły IDS/IPS na „Heartbleed” (Snort/Suricata/Zeek).
Dashbord/alert: korelacja IDS Heartbleed ↔ CloudTrail Import/UpdateServerCertificate.
Monitoring anomalii TLS (krótkie połączenia, skoki błędów).
Procedura natychmiastowej rotacji certyfikatów/kluczy i unieważniania sesji.

CISO (strategicznie):

Potwierdzona eliminacja OpenSSL 1.0.1* w środowisku (obrazy bazowe/kontenery).
Wymuszenie PFS i polityki silnych zestawów szyfrów.
Testy podatności (skan nmap NSE) — wyłącznie autoryzowane.
Plan komunikacji i notyfikacji (zgodność regulacyjna); lekcje z incydentów (CRA/CHS).

Uwaga końcowa: Heartbleed to historyczna luka, ale nadal pojawia się w długowiecznych obrazach/urządzeniach. Minimalna obrona to łatanie (M1051), IDS/IPS (M1031) oraz rotacja kryptografii po każdym podejrzeniu ekspozycji.