搜索

[9416] 2015-10-08_攻击新姿势：通过入侵OutlookWeb应用（OWA）服务器来破坏机构网络

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-17
2015-10-08_攻击新姿势：通过入侵OutlookWeb应用（OWA）服务器来破坏机构网络 攻 击 新 姿 势 ： 通 过 入 侵 O u t l o o k   W e b 应 用 （ O W A ） 服 务 器 来 破 坏 机 构 网 络 F r e e B u f   2 0 1 5 - 1 0 - 0 8 研 究 人 员 发 现 了 一 种 先 进 的 恶 意 软 件 ， 它 可 以 通 过 感 染 机 构 的 研 究 人 员 发 现 了 一 种 先 进 的 恶 意 软 件 ， 它 可 以 通 过 感 染 机 构 的 O u t l o o k   W e b 应 用 （ 应 用 （ O W A ） 邮 件 服 务 器 来 破 坏 机 构 的 ） 邮 件 服 务 器 来 破 坏 机 构 的 网 络 。 网 络 。 机 构 网 络 新 型 攻 击 方 式 机 构 网 络 新 型 攻 击 方 式 根 据 C y b e r e a s o n 安 全 公 司 的 专 家 们 的 消 息 ， 网 络 威 胁 者 通 过 一 个 W e b 邮 件 服 务 器 攻 陷 了 一 个 不 知 名 的 机 构 网 络 ， 并 对 它 进 行 了 数 个 月 的 控 制 。 受 害 者 是 一 个 总 部 在 美 国 的 中 型 公 共 服 务 公 司 ， 该 公 司 联 系 了 C y b e r e a s o n 公 司 以 调 查 可 能 的 入 侵 方 式 。 C y b e r e a s o n 在 受 害 者 的 1 9 0 0 0 个 端 点 上 部 署 其 产 品 ， 以 此 识 别 攻 击 源 头 并 减 轻 攻 击 的 影 响 。 在 调 查 过 程 中 ， C y b e r e a s o n 发 现 了 一 个 可 疑 的 D L L 文 件 ， 该 文 件 被 加 载 到 了 该 机 构 的 微 软 O u t l o o k   W e b 应 用 （ O u t l o o k   W e b A p p ， O W A ） 服 务 器 。 该 机 构 使 用 这 个 服 务 器 来 使 得 远 程 用 户 能 够 访 问 O u t l o o k 。 O W A 是 微 软 E x c h a n g e 服 务 器 （ 从 5 . 0 版 本 开 始 ） 的 一 个 W e b 邮 箱 组 件 ， 它 允 许 用 户 通 过 使 用 任 何 W e b 浏 览 器 来 访 问 他 们 的 E x c h a n g e 服 务 器 邮 箱 。 而 袭 击 者 在 该 机 构 的 非 警 戒 区 域 植 入 了 一 个 可 通 过 W e b 访 问 的 服 务 器 后 门 。
C y b e r e a s o n 发 布 的 一 篇 发 布 的 一 篇 报 告 报 告 中 声 明 道 ： 中 声 明 道 ： O W A 是 独 一 无 二 的 ： 它 是 一 个 关 键 的 内 部 基 础 设 施 ， 同 时 它 也 面 临 着 互 联 网 ， 使 其 作 为 内 部 、 受 保 护 的 D M Z 以 及 W e b 之 间 的 一 个 中 间 层 。 O W A 的 这 个 配 置 创 建 了 一 个 理 想 的 攻 击 平 台 ， 因 为 服 务 器 同 时 暴 露 在 内 部 和 外 部 。 因 为 O W A 认 证 是 基 于 域 凭 据 的 ， 所 以 获 取 访 问 O W A 服 务 器 权 限 的 人 将 成 为 整 个 机 构 的 域 凭 据 的 拥 有 者 。 ” 攻 击 原 理 介 绍 攻 击 原 理 介 绍 C y b e r e a s o n 的 专 家 们 发 现 了 一 个 可 疑 的 D L L “ O W A A U T H . d l l ” ， 它 与 用 于 身 份 认 证 机 制 的 合 法 O W A   D L L 名 字 相 同 。 此 外 ， 专 家 们 注 意 到 一 些 奇 怪 的 内 容 ， 因 为 这 个 D D L 的 代 码 是 无 符 号 的 ， 并 且 它 是 从 一 个 不 同 的 文 件 夹 进 行 加 载 的 。 报 告 中 陈 述 道 ： 黑 客 安 装 了 一 个 带 有 后 门 的 恶 意 O W A A U T H . d l l ， O W A 使 用 该 D L L 作 为 身 份 验 证 机 制 的 一 部 分 ， 并 负 责 验 证 环 境 中 所 用 的 活 动 目 录 （ A c t i v e   D i r e c t o r y ， A D ） 服 务 器 用 户 身 份 。 此 外 ， 恶 意 O W A A U T H . D L L 还 向 I I S 服 务 器 中 安 装 了 一 个 I S A P I 过 滤 器 ， 并 会 过 滤 H T T P 请 求 。 ” 这 种 设 置 使 得 在 S S L / T L S 解 密 并 提 取 用 户 凭 证 之 后 ， 黑 客 能 够 以 明 文 形 式 获 得 所 有 请 求 ， 网 络 威 胁 者 在 注 册 表 中 安 装 过 滤 器 ， 以 此 确 保 持 久 性 的 感 染 ， 然 后 在 服 务 器 每 次 重 启 之 后 都 会 加 载 恶 意 代 码 。 提 取 的 身 份 验 证 凭 证 存 储 在 一 个 加 密 的 文 本 文 件 中 。 专 家 们 解 密 了 文 件 ， 发 现 超 过 1 1 0 0 0 个 属 于 被 黑 机 构 公 司 的 凭 证 。 这 些 恶 意 代 码 提 供 了 存 在 于 目 标 系 统 中 的 完 整 功 能 性 后 门 ， 它 允 许 攻 击 者 操 纵 O W A 服 务 器 上 的 文 件 ， 并 使 其 能 够 执 行 命 令 和 任 意 代 码 。 C y b e r e a s o n 报 告 中 继 续 陈 述 道 ：
根 据 定 义 ， O W A 要 求 机 构 定 义 一 组 相 对 宽 松 的 限 制 ； 在 这 种 情 况 下 ， O W A 配 置 的 方 式 允 许 以 面 向 互 联 网 的 方 式 访 问 服 务 器 ， 这 使 得 黑 客 能 够 在 几 个 月 的 时 间 段 内 不 被 检 测 到 的 情 况 下 ， 对 整 个 机 构 的 环 境 建 立 持 久 控 制 。 ” * 参 考 来 源 ： s e c u r i t y a f f a i r s 、 t h e h a c k e r n e w s ， F B 小 编 J a c k F r e e 编 译 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . c o m ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理