搜索

[16671] 2021-04-15_FBI“合法清除”被攻击的Exchange服务器WebShell

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-04-15_FBI“合法清除”被攻击的Exchange服务器WebShell F B I “ 合 法 清 除 ” 被 攻 击 的 E x c h a n g e 服 务 器 W e b S h e l l 黑 鸟   F r e e B u f   2 0 2 1 - 0 4 - 1 5 2 0 2 1 年 1 月 到 2 月 ， 有 黑 客 组 织 使 用 M i c r o s o f t   E x c h a n g e 邮 件 服 务 器 软 件 中 的 0 d a y 漏 洞 利 用 链 （ P r o x y L o g o n ） 来 访 问 电 子 邮 件 账 户 ， 并 在 服 务 器 放 置 W e b S h e l l 进 行 远 程 权 限 管 理 。 在 漏 洞 和 补 丁 发 布 后 ， 其 他 黑 客 组 织 也 于 3 月 初 开 始 效 仿 ， 纷 纷 针 对 E x c h a n g e 服 务 器 进 行 攻 击 。 尽 管 许 多 受 感 染 的 系 统 所 有 者 成 功 地 从 数 千 台 计 算 机 中 删 除 了 W e b S h e l l ， 但 还 是 有 数 百 个 台 服 务 器 上 运 行 着 W e b S h e l l 。 因 此 美 国 司 法 部 在 2 0 2 1 年 4 月 1 3 日 宣 布 了 一 项 法 院 授 权 的 行 动 ， 该 行 动 将 授 权 F B I 从 美 国 数 百 台 用 于 提 供 企 业 级 电 子 邮 件 服 务 的 M i c r o s o f t   E x c h a n g e 服 务 器 中 ， 先 收 集 大 量 被 攻 陷 的 服 务 器 ， 再 将 这 些 服 务 器 上 的 先 收 集 大 量 被 攻 陷 的 服 务 器 ， 再 将 这 些 服 务 器 上 的 W e b S h e l l 进 行 拷 贝 ， 进 行 拷 贝 ， 然 后 再 删 除 服 务 器 上 的 恶 意 然 后 再 删 除 服 务 器 上 的 恶 意 W e b S h e l l 。
2 0 2 1 年 3 月 2 日 ， M i c r o s o f t 宣 布 一 个 黑 客 组 织 使 用 多 个 零 日 漏 洞 来 定 位 运 行 M i c r o s o f t   E x c h a n g e   S e r v e r 软 件 的 计 算 机 。 其 他 各 种 黑 客 组 织 也 利 用 这 些 漏 洞 在 数 千 台 受 害 计 算 机 （ 包 括 位 于 美 国 的 受 灾 计 算 机 ） 上 安 装 了 W e b   S h e l l 。 由 于 F B I
需 要 删 除 的 W e b S h e l l 每 个 都 有 唯 一 的 文 件 路 径 和 名 称 ， 因 此 与 其 他 通 用 W e b S h e l l 相 比 ， 检 测 和 清 除 它 们 可 能 更 具 挑 战 性 。 至 于 如 何 进 行 清 除 ， 想 必 懂 得 都 懂 ， 毕 竟 存 在 至 于 如 何 进 行 清 除 ， 想 必 懂 得 都 懂 ， 毕 竟 存 在 W e b S h e l l 的 服 务 器 基 本 没 有 修 补 最 新 的 漏 洞 补 丁 ， 因 此 的 服 务 器 基 本 没 有 修 补 最 新 的 漏 洞 补 丁 ， 因 此 … … F B I 试 图 向 所 有 删 除 了 黑 客 组 织 W e b s h e l l 的 计 算 机 的 所 有 者 或 运 营 商 提 供 法 院 授 权 操 作 的 通 知 。 对 于 那 些 拥 有 公 开 联 系 信 息 的 受 害 者 ， 联 邦 调 查 局 将 从 官 方 F B I 电 子 邮 件 帐 户 （ @   F B I . g o v ） 发 送 电 子 邮 件 ， 以 通 知 受 害 人 。 对 于 那 些 无 法 公 开 获 得 联 系 信 息 的 受 害 者 ， F B I 将 从 同 一 F B I 电 子 邮 件 帐 户 向 被 认 为 拥 有 联 系 信 息 的 提 供 商 （ 例 如 受 害 者 的 I S P ） 发 送 一 封 电 子 邮 件 ， 并 要 求 他 们 提 供 通 知 受 害 者 。 而 在 4 月 1 3 日 的 F B I 清 除 W e b S h e l l 行 动 中 ， 删 除 了 一 个 早 期 黑 客 组 织 的 W e b   S h e l l ， F B I 通 过 W e b   S h e l l 向 服 务 器 发 出 命 令 进 行 了 删 除 ， 目 的 是 让 服 务 器 仅 删 除 W e b   S h e l l （ 由 其 唯 一 的 文 件 路 径 标 识 ） 。 如 下 图 所 示 ， 执 行 命 令 （ 该 操 作 不 代 表 其 他 W e b S h e l l 的 操 作 ， 仅 仅 针 对 一 个 服 务 器 ） h t t p s : / / w e b m a i l . [ d o m a i n ] [ . ] n e t / a s p n e t _ c l i e n t / s y s t e m _ w e b / x x x . a s p x :   d e l   / f “ C : i n e t p u b w w w r o o t a s p n e t _ c l i e n t s y s t e m _ w e b x x x . a s p x .
此 外 近 期 外 媒 爆 料 指 出 ， F B I 在 2 0 1 6 年 曾 雇 佣 公 司 去 解 锁 一 个 枪 手 的 i p h o n e 手 机 ， 当 时 苹 果 公 司 拒 不 配 合 解 锁 。 该 公 司 是 澳 大 利 亚 国 防 承 包 商 A z i m u t h   S e c u r i t y ， A z i m u t h 为 美 国 、 加 拿 大 和 英 国 政 府 生 产 黑 客 工 具 ， 并 向 F B I 提 供 了 一 系 列 的 I O S 漏 洞 利 用 （ C o n d o r ） 从 而 解 锁 i P h o n e 。 如 今 为 L 3 H a r r i s   T e c h n o l o g i e s 旗 下 ， L 3 H a r r i s 于 2 0 1 8 年 4 月 收 购 了 A z i m u t h 和 L i n c h p i n   L a b s 。 而 L i n c h p i n   L a b s 会 向 F B I ， 澳 大 利 亚 的 情 报 服 务 以 及 英 国 和 加 拿 大 提 供 漏 洞 利 用 。 而 F B I 曾 经 从 A z i m u t h 获 得 了 针 对 T o r 浏 览 器 的 攻 击 。 可 以 看 出 ， 不 愧 是 F B I 。 精 精 彩 彩 推 推 荐 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理