Just checking in on all the MSMQ vulnerabilities in 2023 including #QueueJumper - from honeypots, I didn’t see a single exploitation attempt, just scanning.

There also still isn’t a proof of concept exploit that reaches remote code execution still. #threatintel

Still seen no in the wild exploitation of CVE-2023-21554 aka #QueueJumper, from a wide variety of telemetry. Turns out not publishing an RCE exploit helps prevent exploitation.

Pretty funny easy query to know if #QueueJumper request is internet scanning or malicious - filters out internet scanning. A month since publication, I haven't seen any in the wild exploitation (even just crashing the service, which is ridiculously easy).

VMConnection
| where ProcessName == "mqsvc"
| where BytesSent <> 572
| where BytesSent <> 0

MDE AHQ for exploitation: https://github.com/GossiTheDog/ThreatHunting/blob/master/AdvancedHuntingQueries/QueueJumper.ahq

My #MSMQ #honeypot is extreeeemly advanced ​

`ncat -vlkp 1801 > /dev/null -c 'cat msmq.out.raw'`

Then a #tshark capturing the traffic.

Accidentally deleted my #QueueJumper toots, but so far no sign of any in the wild exploitation, no technical write up and no public exploit. Monitoring with real world MSMQ, all quiet too.

Credits to CheckPoint for not providing exploitation details, has given orgs time to patch. Also kudos to not branding it a “cyber pandemic” this time.

Done! Submitted a pull request to the #nmap project to add a #MSMQ service probe. Hope it gets accepted and helps everyone once merged.

https://github.com/nmap/nmap/pull/2632

Paging @shodan, you may find this useful. It's different from the one I posted yesterday.

If the byte at offset 18 is set to 0x02 instead of 0x12, that connection request was actually accepted.

Ouch if you find this on the Internet I guess!

And since we're here... A comparison of #Censys and #Shadowserver's #MSMQ probes. They are using the same probe except for the padding.

How do I know all this? May have quickly set up a terrible #honeypot last night ​

Just out of curiosity, a comparison of our probe vs the one I've seen #censysio is using.

The protocol is proprietary, so I have no ideia what theirs is doing

@VitorHSSousa and myself have developed a #nmap service probe to identify whether a service on port 1801 is #MSMQ.

I've just published it on the URL below. We can't guarantee this will successfully detect every version, but we've tested with a few Windows Server and non-server versions and it seems to work across at least recent ones.

We hope this helps defenders identify exposed MSMQ so they can mitigate the risk from #QueueJumper.

https://gist.github.com/goncalor/a01ba66927c0dc704000d7bf1327d36e

I've managed to figure out a packet that if sent to a #MSMQ server results in a response that can be fingerprinted.

If you send this packet and the response contains LIOR and a bunch of ZZZZ this indicates the service is probably MSMQ.

I can't guarantee this works for all versions, but it works at least for recent ones.

I'm going to try to write a #nmap service probe for this service.

echo -ne '\x10\x00\x0b\x00\x4c\x49\x4f\x52\x3c\x02\x00\x00\xff\xff\xff\xff\x00\x00\x02\x00\x06\x55\x3d\x51\x36\xdf\xc7\x40\x96\x43\x17\x5c\x3c\xe7\x6c\xaa\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00' | ncat -v 127.0.0.1 1801 | hd

It would have been extremely useful if #checkpoint posted a basic way to detect #MSMQ remotely. No PoC, no nothing. Just confirming that's the exposed service on that port.

Damned be these proprietary protocols.