搜索

[28794] 2021-03-10_MicrosoftExchange零日漏洞利用的检测和响应

文档创建者：s7ckTeam
浏览次数：54
最后更新：2025-01-19
2021-03-10_MicrosoftExchange零日漏洞利用的检测和响应 M i c r o s o f t   E x c h a n g e 零 日 漏 洞 利 用 的 检 测 和 响 应 O t s 安 全   2 0 2 1 - 0 3 - 1 0 从 2 0 2 1 年 1 月 开 始 ， M a n d i a n t   M a n a g e d   D e f e n s e 至 少 在 一 个 客 户 端 环 境 中 观 察 到 多 次 滥 用 M i c r o s o f t   E x c h a n g e   S e r v e r 的 情 况 。 观 察 到 的 活 动 包 括 创 建 W e b 外 壳 以 进 行 持 久 访 问 ， 远 程 执 行 代 码 以 及 对 端 点 安 全 解 决 方 案 进 行 侦 察 。 我 们 的 调 查 显 示 ， 在 E x c h a n g e 服 务 器 上 创 建 的 文 件 归 用 户 N T   A U T H O R I T Y     S Y S T E M 拥 有 ， 该 用 户 是 W i n d o w s 操 作 系 统 上 的 特 权 本 地 帐 户 。 此 外 ， 创 建 W e b   S h e l l 的 进 程 是 U M W o r k e r P r o c e s s . e x e ， 该 进 程 负 责 E x c h a n g e   S e r v e r 的 统 一 消 息 服 务 。 在 随 后 的 调 查 中 ， 我 们 观 察 到 w 3 w p . e x e 创 建 的 恶 意 文 件 。 ， 该 过 程 负 责 E x c h a n g e   S e r v e r   W e b 前 端 。 为 了 响 应 此 活 动 ， 我 们 建 立 了 威 胁 搜 寻 活 动 ， 旨 在 识 别 其 他 E x c h a n g e   S e r v e r 滥 用 情 况 。 我 们 还 利 用 这 些 数 据 来 构 建 W e b 服 务 器 流 程 链 的 高 保 真 检 测 。 2 0 2 1 年 3 月 2 日 ， M i c r o s o f t 发 布 了 一 篇 博 客 文 章 ， 详 细 介 绍 了 用 于 攻 击 M i c r o s o f t   E x c h a n g e   S e r v e r 内 部 版 本 的 多 个 零 日 漏 洞 。 M i c r o s o f t 还 发 布 了 针 对 以 下 漏 洞 的 紧 急 E x c h a n g e   S e r v e r 更 新 ： 表 1 ： 2 0 2 1 年 3 月 M i c r o s o f t   E x c h a n g e   C V E 和 F i r e E y e 英 特 尔 摘 要 列 表 总 共 发 现 了 四 个 漏 洞 ： 总 共 发 现 了 四 个 漏 洞 ： C V E - 2 0 2 1 - 2 6 8 5 5 服 务 器 端 请 求 伪 造 （ S S R F ） 允 许 未 经 授 权 的 攻 击 者 使 用 特 殊 构 造 的 请 求 来 查 询 服 务 器 ， 这 将 导 致 远 程 代 码 执 行 。 被 利 用 的 服 务 器 随 后 会 将 查 询 转 发 到 另 一 个 目 标 。 C V E - 2 0 2 1 - 2 6 8 5 7 由 统 一 消 息 服 务 内 的 不 安 全 数 据 反 序 列 化 引 起 。 潜 在 地 允 许 攻 击 者 执 行 任 意 代 码 （ R C E ） 。 由 于 对 用 户 文 件 的 控 制 不 足 ， 攻 击 者 能 够 伪 造 数 据 查 询 的 主 体 ， 并 诱 使 高 特 权 服 务 执 行 代 码 。 C V E - 2 0 2 1 - 2 6 8 5 8 利 用 此 漏 洞 ， 授 权 的 E x c h a n g e 用 户 可 以 使 用 自 己 的 数 据 覆 盖 系 统 中 的 任 何 现 有 文 件 。 为 此 ， 攻 击 者 必 须 破 坏 管 理 凭 据 或 利 用 另 一 个 漏 洞 ， 例 如 S S R F   C V E - 2 0 2 1 - 2 6 8 5 5 。 C V E - 2 0 2 1 - 2 7 0 6 5 与 C V E - 2 0 2 1 - 2 6 8 5 8 类 似 ， 并 允 许 授 权 攻 击 者 覆 盖 E x c h a n g e 服 务 器 上 的 任 何 系 统 文 件 。 M i c r o s o f t 报 告 的 活 动 符 合 我 们 的 观 察 。 F i r e E y e 当 前 在 三 个 群 集 U N C 2 6 3 9 ， U N C 2 6 4 0 和 U N C 2 6 4 3 中 跟 踪 此 活 动 。 当 我 们 对 入 侵 做 出 响 应 时 ， 我 们 预 计 会 有 更 多 的 集 群 。 我 们 建 议 您 遵 循 M i c r o s o f t 的 指 导 并 立 即 修 补 E x c h a n g e   S e r v e r ， 以 减 轻 此 活 动 的 负 担 。 根 据 遥 测 ， 我 们 确 定 了 一 系 列 受 影 响 的 受 害 者 ， 包 括 美 国 的 零 售 商 ， 地 方 政 府 ， 一 所 大 学 和 一 家 工 程 公 司 。 相 关 活 动 可 能 还 包 括 东 南 亚 政 府 和 中 亚 电 信 。 微 软 报 告 说 ， 这 些 剥 削 事 件 是 一 起 发 生 的 ， 并 与 一 个 被 称 为 “   H A F N I U M ” 的 行 为 者 有 联 系 ， 该 行 为 者 以 前 一 直 针 对 美 国 的 国 防 公 司 ， 律 师 事 务 所 ， 传 染 病 研 究 人 员 和 智 囊 团 。 在 此 博 客 文 章 中 ， 我 们 将 详 细 介 绍 我 们 当 前 正 在 执 行 的 积 极 调 查 的 观 察 结 果 。 随 着 我 们 对 该 威 胁 参 与 者 的 经 验 和 知 识 的 增 长 ， 我 们 将 适 当 地 更 新 此 职 位 或 发 布 新 的 技 术 细 节 。 对 于 我 们 的 托 管 防 御 客 户 ， 我 们 发 起 了 社 区 保 护 活 动 ， 该 活 动 将 提 供 有 关 此 威 胁 因 素 和 活 动 的 频 繁 更 新 。
从 漏 洞 利 用 到 从 漏 洞 利 用 到 W e b   S h e l l 从 2 0 2 1 年 1 月 开 始 ， M a n d i a n t   M a n a g e d   D e f e n s e 观 察 到 在 客 户 环 境 中 的 一 个 M i c r o s o f t   E x c h a n g e 服 务 器 文 件 系 统 上 创 建 了 W e b S h e l l 。 该 W e b 外 壳 名 为 h e l p . a s p x （ M D 5 ： 4 b 3 0 3 9 c f 2 2 7 c 6 1 1 c 4 5 d 2 2 4 2 d 1 2 2 8 a 1 2 1 ） ， 包 含 用 于 识 别 （ 1 ） F i r e E y e   x A g e n t ， （ 2 ） C a r b o n B l a c k 或 （ 3 ） C r o w d S t r i k e   F a l c o n 端 点 产 品 是 否 存 在 并 编 写 发 现 输 出 的 代 码 。 图 1 提 供 了 W e b   S h e l l 代 码 的 摘 要 。 图 1 ： W e b   S h e l l   h e l p . a s p x 的 片 段 ， 旨 在 识 别 受 害 者 系 统 上 是 否 存 在 端 点 安 全 软 件 该 W e b   S h e l l 是 由 U M W o r k e r P r o c e s s . e x e 进 程 写 入 系 统 的 ， 该 进 程 与 M i c r o s o f t   E x c h a n g e   S e r v e r 的 统 一 消 息 服 务 关 联 。 该 活 动 建 议 利 用 C V E - 2 0 2 1 - 2 6 8 5 8 。 大 约 二 十 天 后 ， 攻 击 者 在 另 一 个 M i c r o s o f t   E x c h a n g e   S e r v e r 上 放 置 了 另 一 个 W e b   S h e l l 。 这 第 二 个 部 分 混 淆 的 W e b   S h e l l 名 为 i i s s t a r t . a s p x （ M D 5 ： 0 f d 9 b f f a 4 9 c 7 6 e e 1 2 e 5 1 e 3 b 8 a e 0 6 0 9 a c ） ， 它 更 高 级 ， 并 且 包 含 与 文 件 系 统 进 行 交 互 的 功 能 。 如 图 2 所 示 ， W e b   S h e l l 具 有 运 行 任 意 命 令 以 及 上 载 ， 删 除 和 查 看 文 件 内 容 的 功 能 。
图 2 ： 攻 击 者 于 2 0 2 1 年 1 月 下 旬 上 传 的 i i s s t a r t . a s p x 片 段 尽 管 在 威 胁 参 与 者 之 间 通 常 使 用 W e b   S h e l l ， 但 是 这 些 文 件 的 父 进 程 ， 时 间 安 排 和 受 害 人 清 楚 地 表 明 ， 活 动 始 于 滥 用 M i c r o s o f t   E x c h a n g e 。 2 0 2 1 年 3 月 ， 在 单 独 的 环 境 中 ， 我 们 观 察 到 威 胁 者 利 用 一 个 或 多 个 漏 洞 在 易 受 攻 击 的 E x c h a n g e   S e r v e r 上 放 置 了 至 少 一 个 W e b S h e l l 。 像 在 其 他 环 境 中 一 样 ， 这 很 可 能 同 时 建 立 了 持 久 性 访 问 和 辅 助 访 问 。 在 这 种 情 况 下 ， M a n d i a n t 观 察 到 生 成 了 c m d . e x e 的 进 程 w 3 w p . e x e （ 与 E x c h a n g e   W e b 前 端 关 联 的 I I S 进 程 ） 将 文 件 写 入 磁 盘 。 该 文 件 （ 如 图 3 所 示 ） 与 经 过 实 践 检 验 的 C h i n a C h o p p e r 的 签 名 匹 配 。
图 3 ： 在 受 损 的 E x c h a n g e   S e r v e r 系 统 上 发 现 的 C h i n a   C h o p p e r   W e b   S h e l l 片 段 我 们 观 察 到 ， 至 少 在 两 种 情 况 下 ， 威 胁 参 与 者 随 后 对 E x c h a n g e   W e b 服 务 器 发 出 了 以 下 命 令 ： 此 命 令 尝 试 从 E x c h a n g e 组 织 的 管 理 员 组 中 删 除 管 理 员 用 户 ， 从 当 前 域 中 的 域 控 制 器 开 始 。 如 果 系 统 在 单 系 统 域 中 ， 它 将 在 本 地 计 算 机 上 执 行 。 根 据 M i c r o s o f t 的 博 客 ， 他 们 确 定 了 其 他 开 发 后 活 动 ， 包 括 ： 通 过 转 储 L S A S S 进 程 内 存 进 行 凭 证 盗 窃 。 压 缩 数 据 以 通 过 7 - Z i p 进 行 渗 透 。 使 用 E x c h a n g e   P o w e r S h e l l 管 理 单 元 导 出 邮 箱 数 据 。 使 用 其 他 攻 击 性 安 全 工 具 C o v e n a n t ， N i s h a n g 和 P o w e r C a t 进 行 远 程 访 问 。 推 荐 建 议 推 荐 建 议 由 于 M i c r o s o f t 已 经 发 布 了 修 复 所 有 这 些 漏 洞 的 更 新 ， 因 此 我 们 强 烈 建 议 尽 快 更 新 E x c h a n g e   S e r v e r 。 将 防 御 策 略 的 重 点 放 在 检 测 横 向 移 动 和 数 据 向 I n t e r n e t 的 渗 透 上 。 要 特 别 注 意 传 出 流 量 以 检 测 网 络 犯 罪 连 接 。 定 期 备 份 数 据 。 确 保 在 紧 急 情 况 下 可 以 快 速 访 问 它 。 使 用 解 决 方 案 ， 如 K a s p e r s k y   E n d p o i n t   D e t e c t i o n   a n d   R e s p o n s e 和 K a s p e r s k y   M a n a g e d   D e t e c t i o n   a n d   R e s p o n s e 服 务 ， 这 些 解 决 方 案 有 助 于 在 攻 击 者 实 现 目 标 之 前 尽 早 识 别 并 阻 止 攻 击 。 使 用 可 靠 的 端 点 安 全 解 决 方 案 ， 例 如 K a s p e r s k y   E n d p o i n t   S e c u r i t y   f o r   B u s i n e s s ， 该 解 决 方 案 由 漏 洞 利 用 预 防 ， 行 为 检 测 和 补 救 引 擎 提 供 支 持 ， 该 引 擎 能 够 回 滚 恶 意 操 作 。 K E S B 还 具 有 自 卫 机 制 ， 可 以 防 止 网 络 罪 犯 将 其 删 除 。 阅 读 原 文 n e t   g r o u p   " E x c h a n g e   O r g a n i z a t i o n   a d m i n i s t r a t o r s "   a d m i n i s t r a t o r   / d e l   / d o m a i n .
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理