【ハニーポット簡易分析】Honeypot簡易分析(306日目:6/18)

Honeytrapのログがうまく取得できていなかったので、本日はWoWHoneypotのみの情報となります。

◾️WoWHoneeypot

＜既存検知パス一覧＞

path	target	CVE	reference	count
/wp-login.php	WordPress	-	-	304
/	-	-	-	28
/admin/assets/js/views/login.js	FreePBX	-	https://git.freepbx.org/projects/FREEPBX/repos/framework/browse/amp_conf/htdocs/admin/assets/js/views/login.js?at=bfb36fa7ac70c2e642257dbcd99a1799e19ea743	25
/.env	.env file	-	-	1
/app/.env	.env file	-	-	1
/phpmyadmin	phpMyAdmin	-	-	1
/robots.txt	-	-	-	1
/shell	Webshell	-	-	1
hxxp://110[.]249[.]212[.]46/testget	Unauthorized Relay	-	-	1

＜新規検知パス一覧＞

path	payload	count
/images/favicon.ico	GET /images/favicon.ico HTTP/1.0	1
/scripts/ajaxPortal.lua	POST /scripts/ajaxPortal.lua HTTP/1.1 Referer: https://www.vmware.com	3
185[.]172[.]110[.]221:80	CONNECT 185[.]172[.]110[.]221:80 HTTP/1.1	1

 

「/scripts/ajaxPortal.lua」はCVE-2018-6961の脆弱性を狙ったもので、
ターゲットはVMware NSX SD-WAN Edge by VeloCloudを狙ったものとなります。
任意のコード実行を狙ったものですが、今回は調査行為止まりでコマンド実行などは特にありませんでした。

 

＜マルウェアダウンロード＞
なし

以上となります。