搜索

[14107] 2019-05-14_微软再出状况：Exchange存在潜藏多年的后门

文档创建者：s7ckTeam
浏览次数：17
最后更新：2025-01-18
2019-05-14_微软再出状况：Exchange存在潜藏多年的后门 微 软 再 出 状 况 ： E x c h a n g e 存 在 潜 藏 多 年 的 后 门 K a r u n e s h 9 1   F r e e B u f   2 0 1 9 - 0 5 - 1 4 近 日 ， 安 全 专 家 在 微 软 的 近 日 ， 安 全 专 家 在 微 软 的 E x c h a n g e 中 发 现 了 一 个 非 常 隐 蔽 的 后 门 ， 该 后 门 的 存 在 ， 可 导 致 攻 击 者 通 过 邮 件 感 染 中 发 现 了 一 个 非 常 隐 蔽 的 后 门 ， 该 后 门 的 存 在 ， 可 导 致 攻 击 者 通 过 邮 件 感 染 服 务 器 ， 完 成 修 改 或 阻 止 以 及 撰 写 新 邮 件 的 操 作 。 服 务 器 ， 完 成 修 改 或 阻 止 以 及 撰 写 新 邮 件 的 操 作 。 研 究 人 员 将 这 个 后 门 称 为 ： L i g h t N e u r o n 。 原 理 是 通 过 使 用 隐 写 P D F 和 J P G 附 件 的 电 子 邮 件 ， 实 现 对 目 标 用 户 的 远 程 控 制 。 目 前 已 证 实 该 后 门 被 T u r l a 网 络 间 谍 小 组 使 用 过 。 关 于 关 于 L i g h t N e u r o n L i g h t N e u r o n 是 第 一 个 使 用 微 软 E x c h a n g e 传 输 代 理 作 为 后 门 程 序 的 恶 意 行 为 。 研 究 人 员 表 示 ， E x c h a n g e 的 功 能 允 许 使 用 者 直 接 接 触 邮 件 服 务 器 所 采 用 的 传 输 代 理 ， 以 达 到 处 理 或 修 改 邮 件 的 目 的 ， 邮 件 的 传 输 代 理 又 可 以 直 接 由 微 软 或 第 三 方 供 应 商 直 接 在 体 系 内 部 创 建 。 并 且 在 邮 件 服 务 器 发 送 或 接 收 电 子 邮 件 时 ， 经 常 会 出 现 传 输 代 理 进 行 处 理 的 情 况 ， 若 在 此 时 调 用 / 修 改 传 输 代 理 ， 则 可 以 直 接 实 现 修 改 电 子 邮 件 内 容 。 这 个 设 定 的 初 衷 是 用 于 合 法 目 的 ， 但 如 我 们 所 见 ， 它 的 弊 端 也 已 经 被 不 法 分 子 发 现 了 。 除 了 传 输 代 理 （ 位 于 P r o g r a m F i l e s 文 件 夹 中 的 E x c h a n g e 文 件 夹 并 在 邮 件 服 务 器 中 进 行 了 相 应 的 配 置 ） 之 外 ， 该 后 门 还 会 使 用 传 输 代 理 所 需 的 D L L 文 件 来 达 成 恶 意 行 为 。 如 前 所 述 ， 后 门 的 存 在 ， 可 以 拦 截 电 子 邮 件 ， 修 改 邮 件 正 文 、 收 件 人 、 主 题 ， 创 建 新 邮 件 ， 替 换 附 件 ， 以 及 从 E x c h a n g e 服 务 器 重 新 创 建 和 发 送 电 子 邮 件 以 绕 过 垃 圾 邮 件 过 滤 器 。 并 且 还 能 创 建 电 子 邮 件 附 件 日 志 ， 对 邮 件 进 行 加 密 和 存 储 ， 并 解 析 J P G / P D F 附 件 并 执 行 其 中 附 带 的 命 令 。 除 此 之 外 ， L i g h t N e u r o n 还 可 以 用 来 编 写 和 执 行 文 件 ， 删 除 文 件 ， 执 行 进 程 ， 禁 用 自 身 进 程 ， 执 行 大 量 日 志 记 录 （ 后 门 操 作 、 调 试 、 错 误 内 容 等 ） 并 在 特 定 时 间 自 动 泄 漏 特 定 文 件 。
在 对 此 事 件 的 调 查 过 程 中 ， 研 究 人 员 还 发 现 L i g h t N e u r o n 与 远 程 管 理 软 件 ， 基 于 R P C 的 恶 意 软 件 或 面 向 O u t l o o k   W e b A c c e s s 的 . N E T   W e b   s h e l l 等 工 具 会 同 时 出 现 ， 并 且 通 过 利 用 这 些 软 件 ， 攻 击 者 可 以 轻 松 通 过 发 送 到 E x c h a n g e 服 务 器 上 的 电 子 邮 件 来 取 得 本 地 计 算 机 及 局 域 网 到 控 制 权 。 最 后 ， 根 据 恶 意 软 件 样 本 中 揭 秘 到 一 些 字 符 串 来 判 断 ， 研 究 人 员 认 为 该 恶 意 软 件 可 能 是 L i n u x 端 的 变 体 。 关 于 关 于 T u r l a T u r l a （ 绰 号 S n a k e ， 又 名 U r o b u r o s ） 被 认 为 是 一 个 以 俄 语 为 主 的 黑 客 攻 击 群 体 ， 其 背 后 很 有 可 能 受 国 家 支 持 ， 至 今 已 活 跃 了 十 多 年 。 通 常 该 组 织 以 世 界 各 地 的 政 府 、 军 事 、 国 防 承 包 商 以 及 区 域 政 治 组 织 和 教 育 组 织 等 为 目 标 进 行 黑 客 活 动 。 研 究 人 员 表 示 ， L i g h t N e u r o n 的 存 在 至 少 可 以 追 溯 到 2 0 1 4 年 ， 但 由 于 其 机 制 的 特 殊 性 导 致 最 近 才 被 安 全 人 员 发 现 。 该 后 门 程 序 很 难 被 检 测 到 （ 因 其 没 有 H T T P S ( S ) ） ， 并 且 通 常 它 仅 会 针 对 关 键 目 标 进 行 部 署 。 E S E T 恶 意 软 件 研 究 员 M a t t h i e u   F a o u 表 示 ， 当 前 已 确 认 两 个 因 为 后 门 被 攻 击 的 目 标 ： 一 个 东 欧 国 家 的 外 交 部 和 一 个 中 东 地 区 的 外 交 组 织 。 删 除 恶 意 软 件 删 除 恶 意 软 件 E S E T 研 究 人 员 已 经 放 出 了 关 于 该 后 门 的 I o C ， 以 便 人 们 检 查 自 身 是 否 存 在 问 题 。 同 时 研 究 人 员 警 告 称 不 要 擅 自 将 该 恶 意 文 件 直 接 删 除 ， 因 为 会 破 坏 M i c r o s o f t   E x c h a n g e 程 序 。 必 须 使 用 管 理 员 账 号 限 禁 用 恶 意 传 输 代 理 ， 然 后 再 删 除 两 个 相 关 恶 意 文 件 。 同 时 研 究 人 员 建 议 ： 如 果 不 想 重 新 安 装 邮 件 服 务 器 ， 那 么 请 尽 快 修 改 感 染 服 务 器 上 的 所 有 具 有 管 理 权 限 账 号 的 密 码 ， 否 则 黑 客 可 以 再 度 发 动 攻 击 。 * 参 考 来 源 ： 参 考 来 源 ： h e l p n e t s e c u r i t y ， ， K a r u n e s h 9 1 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 推 荐 阅 读
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理