KEDR. Possible reverse shell

1. Скачайте архив со скриптами по этой ссылке. В архиве вы найдете папку с плейбуками, которая содержит:
   • папку docs, которая содержит файлы с описанием работы плейбуков;
   • папку code, которая содержит файлы JSON с определениями плейбуков;
   • папку scripts, которая содержит скрипты Python, необходимые для выполнения пользовательских действий в плейбуке.
2. Сгенерируйте API-токен для всех методов API в api/v3/kuma.
3. В файле kuma_events.py укажите значения следующих констант:
   • HOST – введите FQDN или IP-адрес веб-сервера XDR;
   • TOKEN – введите API-токен, сгенерированный на предыдущем шаге.
4. Сгенерируйте API-токен с правами на взаимодействие с OpenAPI.
5. В файле xdr_open_api.py укажите значения следующих констант:
   • HOST – введите FQDN или IP-адрес веб-сервера XDR.
   • TOKEN – введите API-токен, сгенерированный на предыдущем шаге.
6. В файле xdr_link_events.py укажите значения следующих констант:
   • HOST – введите FQDN или IP-адрес веб-сервера XDR;
   • user – введите свое имя пользователя;
   • password – введите свой пароль.
7. Скопируйте файлы kuma_events.py, xdr_link_events.py, xdr_open_api.py и requirements.txt в директорию на удаленном клиентском устройстве.

   Директория скриптов по умолчанию – /opt/xdr_scripts. Если вы выберете другую директорию для скриптов, вам нужно изменить значение параметра workdir в поле Входные данные в дополнительных параметрах каждого затронутого шаблона плейбука.

8. На удаленном клиентском устройстве перейдите в директорию, содержащую файл requirements.txt, и выполните следующую команду для установки зависимостей:

   pip install -r requirements.txt

9. Настройте службу удаленного запуска скриптов и SSH-соединение.

.OriginalEvents | any(select(.DevicePayloadID | contains("invoke_golang_reverse_shell") or contains("invoke_lua_reverse_shell") or contains("invoke_netcat_reverse_or_bind_shell") or contains("invoke_perl_reverse_shell") or contains("invoke_php_reverse_shell") or contains("invoke_reverse_shell_via_curl") or contains("invoke_bash_reverse_shell") or contains("invoke_reverse_shell_via_vscode")))

{

"version": "1",

"dslSpecVersion": "1.1.0",

"actionsSpecVersion": "1",

"input": "${ {\"workdir\": \"/opt/xdr_scripts\", \"timewindow\": \"86400\"} }",

"executionFlow": [

{

"updateData": {

"filter": "${{susp_event: [alert.OriginalEvents[] | select(.DevicePayloadID | contains(\"invoke_golang_reverse_shell\") or contains(\"invoke_lua_reverse_shell\") or contains(\"invoke_netcat_reverse_or_bind_shell\") or contains(\"invoke_perl_reverse_shell\") or contains(\"invoke_php_reverse_shell\") or contains(\"invoke_reverse_shell_via_curl\") or contains(\"invoke_bash_reverse_shell\") or contains(\"invoke_reverse_shell_via_vscode\"))][0].BaseEvents[0]}}",

"action": "merge"

}

},

{

"action": {

"function": {

"type": "executeCustomScript",

"params": {

"commandLine": "${ [ \"./kuma_events.py\", \" child_process_tree_edr_windows\" , \" '\", (.susp_event.SourceProcessID | tostring), \"' '\", (.susp_event.DeviceHostName | tostring), \"' \", (.susp_event.Timestamp | tostring), \" \", (.timewindow) ] | add }",

"commandLineParameters": "",

"stdIn": "",

"workingDirectory": "${ .workdir }"

}

},

"onError": "stop",

"timeout": {

"scheduleToCloseTimeout": "10m"

},

"output": {

"filter": "${ {susp_process_tree: (.details.stdOut | fromjson)} }",

"action": "merge"

}

}

},

{

"action": {

"function": {

"type": "addCommentToAlert",

"params": {

"text": "${ \"Suspicious processes were detected on host \" + (.susp_event.DeviceHostName) + \". All of them should be terminated to contain possible malicious activity.\nChild process tree of the malicious process: \"+ (.susp_event.DestinationUserName) + \": (\" + (.susp_event.DestinationProcessID | tostring) + \") \" + (.susp_event.DestinationProcessName) + \"\n\" + ( [ .susp_process_tree[] | \"*\"*4*.process_level + \"└──> \" + (.DestinationUserName) + \": (\" + (.DestinationProcessID | tostring) + \") \" + (.DestinationProcessName) ] | join(\"\n\") ) }"

}

},

"onError": "stop",

"timeout": {

"scheduleToCloseTimeout": "10m"

}

}

},

{

"decision": {

"conditions": [

{

"condition": "${.susp_event.Extra.\"Ioa.Rules.0.Confidence\" == \"High\"}",

"name": "confidence equal high",

"steps": [

{

"decision": {

"conditions": [

{

"condition": "${.susp_event.DeviceAssetID != null}",

"name": "if asset is defined",

"steps": [

{

"action": {

"function": {

"type": "netIsolateOn",

"params": {

"exclusions": [],

"exclusionsConflictBehavior": "replace",

"isolationTimeoutSec": 28800

},

"assets": "${.susp_event.DeviceAssetID}"

},

"onError": "continue",

"timeout": {

"scheduleToCloseTimeout": "10m"

}

}

}

]

}

]

}

},

{

"decision": {

"conditions": [

{

"condition": "${.susp_event.DeviceAssetID == null}",

"name": "if asset is not defined",

"steps": [

{

"action": {

"function": {

"type": "addCommentToAlert",

"params": {

"text": "${ \"The host \" + .susp_event.DeviceHostName + \" should be isolated from the network due to high risk of compromise.\" }"

}

},

"onError": "stop",

"timeout": {

"scheduleToCloseTimeout": "10m"

}

}

}

]

}

]

}

}

]

}

]

}

},

{

"decision": {

"conditions": [

{

"condition": "${.susp_event.Extra.\"Ioa.Rules.0.Confidence\" != \"High\"}",

"name": "confidence not equal high",

"steps": [

{

"action": {

"function": {

"type": "executeCustomScript",

"params": {

"commandLine": "${ [ \"./kuma_events.py\", \" sql_query\" , \" 'SELECT ID FROM `events` WHERE DeviceEventCategory='\\\\''connection'\\\\'' AND DestinationProcessID='\\\\''\", (.susp_event.DestinationProcessID | tostring), \"'\\\\'' LIMIT 2' \", (.susp_event.Timestamp | tostring), \" \", (.timewindow) ] | add }",

"commandLineParameters": "",

"stdIn": "",

"workingDirectory": "${ .workdir }"

}

},

"onError": "stop",

"timeout": {

"scheduleToCloseTimeout": "10m"

},

"output": {

"filter": "${ {network_activity_from_susp_process: (.details.stdOut | fromjson | length > 0)} }",

"action": "merge"

}

}

},

{

"decision": {

"conditions": [

{

"condition": "${.network_activity_from_susp_process}",

"name": "suspisious process initiated network connection",

"steps": [

{

"decision": {

"conditions": [

{

"condition": "${.susp_event.DeviceAssetID != null}",

"name": "if asset is defined",

"steps": [

{

"action": {

"function": {

"type": "netIsolateOn",

"params": {

"exclusions": [],

"exclusionsConflictBehavior": "replace",

"isolationTimeoutSec": 28800

},

"assets": "${.susp_event.DeviceAssetID}"

},

"onError": "continue",

"timeout": {

"scheduleToCloseTimeout": "10m"

}

}

}

]

}

]

}

},

{

"decision": {

"conditions": [

{

"condition": "${.susp_event.DeviceAssetID == null}",

"name": "if asset is not defined",

"steps": [

{

"action": {

"function": {

"type": "addCommentToAlert",

"params": {

"text": "${ \"The host \" + .susp_event.DeviceHostName + \" should be isolated from the network due to high risk of compromise because suspicious process: \" + .susp_event.DestinationProcessName + \" initiated network connection that may indicate of possible reverse shell.\" }"

}

},

"onError": "stop",

"timeout": {

"scheduleToCloseTimeout": "10m"

}

}

}

]

}

]

}

}

]

}

]

}

}

]

}

]

}

},

{

"decision": {

"conditions": [

{

"condition": "${.susp_event.DeviceAssetID != null}",

"name": "if asset is defined",

"steps": [

{

"action": {

"function": {

"type": "killProcess",

"params": {

"pid": "${.susp_event.DestinationProcessID}"

},

"assets": "${.susp_event.DeviceAssetID}"

},

"onError": "continue",

"timeout": {

"scheduleToCloseTimeout": "10m"

}

}

},

{

"loop": {

"input": "${.susp_process_tree }",

"steps": [

{

"action": {

"function": {

"type": "killProcess",

"params": {

"pid": "${.DestinationProcessID}"

},

"assets": "${.DeviceAssetID}"

},

"onError": "continue",

"timeout": {

"scheduleToCloseTimeout": "10m"

}

}

}

],

"onError": "stop",

"batchSize": 1

}

}

]

}

]

}

}

]

}