搜索

[28793] 2021-03-08_HAFNIUM针对具有0天漏洞利用的ExchangeServer

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-19
2021-03-08_HAFNIUM针对具有0天漏洞利用的ExchangeServer H A F N I U M 针 对 具 有 0 天 漏 洞 利 用 的 E x c h a n g e   S e r v e r O t s 安 全   2 0 2 1 - 0 3 - 0 8 M i c r o s o f t 威 胁 情 报 中 心 （ M S T I C ） M i c r o s o f t   3 6 5   D e f e n d e r 威 胁 情 报 团 队 M i c r o s o f t   3 6 5 安 全 性 M i c r o s o f t 已 检 测 到 多 种 零 日 漏 洞 ， 可 用 于 在 有 限 且 有 针 对 性 的 攻 击 中 攻 击 M i c r o s o f t   E x c h a n g e   S e r v e r 的 本 地 版 本 。 在 观 察 到 的 攻 击 中 ， 威 胁 行 动 者 利 用 这 些 漏 洞 访 问 了 本 地 E x c h a n g e 服 务 器 ， 从 而 可 以 访 问 电 子 邮 件 帐 户 ， 并 允 许 安 装 其 他 恶 意 软 件 以 促 进 对 受 害 者 环 境 的 长 期 访 问 。 微 软 威 胁 情 报 中 心 （ M S T I C ） 将 此 活 动 归 功 于 H A F N I U M ， 该 组 织 根 据 观 察 到 的 受 害 者 ， 策 略 和 程 序 被 评 估 为 政 府 资 助 并 在 中 国 以 外 运 营 。 最 近 被 利 用 的 漏 洞 是 C V E - 2 0 2 1 - 2 6 8 5 5 ， C V E - 2 0 2 1 - 2 6 8 5 7 ， C V E - 2 0 2 1 - 2 6 8 5 8 和 C V E - 2 0 2 1 - 2 7 0 6 5 ， 所 有 这 些 都 在 今 天 的 M i c r o s o f t 安 全 响 应 中 心 （ M S R C ） 版 本 – 多 个 安 全 更 新 中 得 到 了 解 决 。 为 E x c h a n g e S e r v e r 发 布 。 我 们 强 烈 敦 促 客 户 立 即 更 新 本 地 系 统 。 E x c h a n g e   O n l i n e 不 受 影 响 。 我 们 正 在 与 我 们 的 客 户 和 安 全 社 区 共 享 此 信 息 ， 以 强 调 这 些 漏 洞 的 关 键 性 质 以 及 立 即 修 补 所 有 受 影 响 的 系 统 以 防 止 受 到 这 些 攻 击 并 防 止 整 个 生 态 系 统 遭 受 滥 用 的 重 要 性 。 该 博 客 还 延 续 了 我 们 的 使 命 ， 向 恶 意 行 为 者 发 光 ， 并 提 高 了 对 以 客 户 为 目 标 的 复 杂 策 略 和 技 术 的 认 识 。 此 博 客 中 共 享 的 相 关 I O C ， A z u r e   S e n t i n e l 高 级 搜 寻 查 询 以 及   M i c r o s o f t   D e f e n d e r   f o r   E n d p o i n t 产 品 检 测 和 查 询 将 帮 助 S O C 主 动 搜 寻 其 环 境 中 的 相 关 活 动 ， 并 提 升 所 有 警 报 以 进 行 补 救 。 M i c r o s o f t 非 常 感 谢 V o l e x i t y 和 D u b e x 的 行 业 同 事 报 告 了 攻 击 链 的 不 同 部 分 以 及 他 们 在 调 查 中 的 合 作 。 V o l e x i t y 还 发 布 了 一 篇 博 客 文 章 ， 并 对 其 进 行 了 分 析 。 正 是 这 种 主 动 的 通 信 和 情 报 共 享 水 平 ， 使 社 区 可 以 团 结 起 来 ， 在 攻 击 蔓 延 之 前 就 抢 占 先 机 ， 并 提 高 所 有 人 的 安 全 性 。 谁 是 谁 是 H A F N I U M ？ ？ H A F N I U M 主 要 针 对 美 国 多 个 行 业 的 实 体 ， 包 括 传 染 病 研 究 人 员 ， 律 师 事 务 所 ， 高 等 教 育 机 构 ， 国 防 承 包 商 ， 政 策 智 囊 团 和 非 政 府 组 织 。 H A F N I U M 以 前 通 过 利 用 面 向 I n t e r n e t 的 服 务 器 中 的 漏 洞 来 折 衷 受 害 者 ， 并 使 用 合 法 的 开 源 框 架 （ 例 如 C o v e n a n t ） 进 行 命 令 和 控 制 。 一 旦 他 们 获 得 了 受 害 者 网 络 的 访 问 权 ， H A F N I U M 通 常 会 将 数 据 渗 出 到 文 件 共 享 站 点 （ 例 如 M E G A ） 。 在 与 这 些 漏 洞 无 关 的 活 动 中 ， M i c r o s o f t 已 观 察 到 H A F N I U M 与 受 害 者 互 动   O f f i c e   3 6 5 租 户 。 尽 管 他 们 通 常 无 法 成 功 地 破 坏 客 户 帐 户 ， 但 这 种 侦 察 活 动 可 帮 助 对 手 识 别 有 关 其 目 标 环 境 的 更 多 详 细 信 息 。 H A F N I U M 主 要 通 过 美 国 的 租 赁 虚 拟 专 用 服 务 器 （ V P S ） 进 行 运 营 。 技 术 细 节 技 术 细 节 M i c r o s o f t 提 供 了 以 下 详 细 信 息 ， 以 帮 助 我 们 的 客 户 了 解 H A F N I U M 用 来 利 用 这 些 漏 洞 的 技 术 ， 并 能 够 更 有 效 地 防 御 将 来 对 未 打 补 丁 的 系 统 的 任 何 攻 击 。 C V E - 2 0 2 1 - 2 6 8 5 5 是 E x c h a n g e 中 的 服 务 器 端 请 求 伪 造 （ S S R F ） 漏 洞 ， 它 使 攻 击 者 能 够 发 送 任 意 H T T P 请 求 并 进 行 身 份 验 证 ， 成 为 E x c h a n g e 服 务 器 。 C V E - 2 0 2 1 - 2 6 8 5 7 是 统 一 消 息 服 务 中 的 不 安 全 的 反 序 列 化 漏 洞 。 不 安 全 的 反 序 列 化 是 不 可 信 的 用 户 可 控 制 数 据 被 程 序 反 序 列 化 的 地 方 。 利 用 此 漏 洞 ， H A F N I U M 可 以 在 E x c h a n g e 服 务 器 上 以 S Y S T E M 身 份 运 行 代 码 。 这 需 要 管 理 员 权 限 或 要 利 用 的 另 一 个 漏 洞 。 C V E - 2 0 2 1 - 2 6 8 5 8 是 E x c h a n g e 中 身 份 验 证 后 的 任 意 文 件 写 入 漏 洞 。 如 果 H A F N I U M 可 以 通 过 E x c h a n g e 服 务 器 进 行 身 份 验 证 ， 则 他 们 可 以 使 用 此 漏 洞 将 文 件 写 入 服 务 器 上 的 任 何 路 径 。 他 们 可 以 通 过 利 用 C V E - 2 0 2 1 - 2 6 8 5 5   S S R F 漏 洞 或 通 过 破 坏 合 法 管 理 员 的 凭 据 来 进 行 身 份 验 证 。 C V E - 2 0 2 1 - 2 7 0 6 5 是 E x c h a n g e 中 身 份 验 证 后 的 任 意 文 件 写 入 漏 洞 。 如 果 H A F N I U M 可 以 通 过 E x c h a n g e 服 务 器 进 行 身 份 验 证 ， 则 他 们 可 以 使 用 此 漏 洞 将 文 件 写 入 服 务 器 上 的 任 何 路 径 。 他 们 可 以 通 过 利 用 C V E - 2 0 2 1 - 2 6 8 5 5   S S R F 漏 洞 或 通 过 破 坏 合 法 管 理 员 的 凭 据 来 进 行 身 份 验 证 。 攻 击 细 节 攻 击 细 节 利 用 这 些 漏 洞 获 得 初 始 访 问 权 限 后 ， H A F N I U M 操 作 员 在 受 感 染 的 服 务 器 上 部 署 了 W e b   S h e l l 。 W e b   S h e l l 可 能 使 攻 击 者 能 够 窃 取 数 据 并 执 行 其 他 恶 意 操 作 ， 从 而 导 致 进 一 步 的 危 害 。 下 面 是 用 A S P 编 写 的 H A F N I U M 部 署 的 W e b   S h e l l 的 一 个 示 例 ： 部 署 W e b   S h e l l 后 ， H A F N I U M 操 作 员 执 行 了 以 下 开 发 后 活 动 ： 使 用 P r o c d u m p 转 储 L S A S S 进 程 内 存 ： 使 用 7 - Z i p 将 窃 取 的 数 据 压 缩 到 Z I P 文 件 中 以 进 行 渗 透 ： 添 加 并 使 用 E x c h a n g e   P o w e r S h e l l 管 理 单 元 导 出 邮 箱 数 据 ： 使 用 N i s h a n g   I n v o k e - P o w e r S h e l l T c p O n e L i n e 反 向 外 壳 ： 从 G i t H u b 下 载 P o w e r C a t ， 然 后 使 用 它 打 开 与 远 程 服 务 器 的 连 接 ： H A F N I U M 运 营 商 还 能 够 从 受 感 染 系 统 下 载 E x c h a n g e 脱 机 通 讯 簿 ， 其 中 包 含 有 关 组 织 及 其 用 户 的 信 息 。 我 们 的 博 客 “ 防 御 受 攻 击 的 E x c h a n g e 服 务 器 ” 提 供 了 有 关 改 进 针 对 E x c h a n g e 服 务 器 入 侵 的 防 御 的 建 议 。 客 户 还 可 以 在 我 们 的 博 客 中 找 到 有 关 W e b   S h e l l 攻 击 的 其 他 指 南 。 W e b   S h e l l 攻 击 继 续 增 加 。 我 可 以 确 定 我 是 否 受 到 此 活 动 的 侵 害 吗 ？ 我 可 以 确 定 我 是 否 受 到 此 活 动 的 侵 害 吗 ？ 以 下 各 节 提 供 了 危 害 指 标 （ I O C ） ， 检 测 指 南 和 高 级 搜 寻 查 询 ， 以 帮 助 客 户 使 用 E x c h a n g e 服 务 器 日 志 ， A z u r e   S e n t i n e l ， M i c r o s o f t   D e f e n d e r   f o r   E n d p o i n t 和   M i c r o s o f t   3 6 5 后 卫 。 我 们 鼓 励 客 户 进 行 调 查 并 进 行 主 动 检 测 ， 以 识 别 可 能 的 先 前 活 动 ， 并 防 止 将 来 可 能 针 对 其 系 统 的 活 动 。 检 查 检 查 E x c h a n g e   S e r v e r 的 补 丁 程 序 级 别 的 补 丁 程 序 级 别
M i c r o s o f t   E x c h a n g e   S e r v e r 团 队 已 发 布 有 关 这 些 新 安 全 更 新 的 博 客 文 章 ， 该 博 客 文 章 提 供 了 一 个 脚 本 ， 可 快 速 清 点 本 地 E x c h a n g e 服 务 器 的 补 丁 程 序 级 别 状 态 ， 并 回 答 有 关 安 装 这 些 补 丁 程 序 的 一 些 基 本 问 题 。 扫 描 扫 描 E x c h a n g e 日 志 文 件 以 寻 找 危 害 指 标 日 志 文 件 以 寻 找 危 害 指 标 E x c h a n g e   S e r v e r 团 队 创 建 了 一 个 脚 本 来 运 行 H A F N I U M   I O C 的 检 查 ， 以 解 决 性 能 和 内 存 问 题 。 该 脚 本 可 以 在 这 里 找 到 ： h t t p s   :   / / g i t h u b . c o m / m i c r o s o f t / C S S - E x c h a n g e / t r e e / m a i n / S e c u r i t y 。 可 以 通 过 以 下 E x c h a n g e   H t t p P r o x y 日 志 检 测 C V E - 2 0 2 1 - 2 6 8 5 5 利 用 ： 1 .   这 些 日 志 位 于 以 下 目 录 中 ： ％ P R O G R A M F I L E S ％   M i c r o s o f t     E x c h a n g e   S e r v e r     V 1 5     L o g g i n g     H t t p P r o x y 2 .   可 以 通 过 在 A u t h e n t i c a t e d U s e r 为 空 并 且 A n c h o r M a i l b o x 包 含 S e r v e r I n f o 〜 *   /   * 模 式 的 日 志 条 目 中 进 行 搜 索 来 识 别 漏 洞 利 用 这 是 示 例 P o w e r S h e l l 命 令 来 查 找 这 些 日 志 条 目 ： 如 果 检 测 到 活 动 ， 则 可 以 使 用 A n c h o r M a i l b o x 路 径 中 指 定 的 特 定 于 应 用 程 序 的 日 志 来 帮 助 确 定 采 取 了 哪 些 操 作 。 这 些 日 志 位 于 ％ P R O G R A M F I L E S ％   M i c r o s o f t     E x c h a n g e   S e r v e r     V 1 5     L o g g i n g 目 录 中 。 可 以 通 过 E x c h a n g e 日 志 文 件 检 测 C V E - 2 0 2 1 - 2 6 8 5 8 利 用 ： 文 件 应 仅 下 载 到 ％ P R O G R A M F I L E S ％   M i c r o s o f t     E x c h a n g e   S e r v e r     V 1 5     C l i e n t A c c e s s     O A B     T e m p 目 录 如 果 被 利 用 ， 文 件 将 下 载 到 其 他 目 录 （ U N C 或 本 地 路 径 ） W i n d o w s 命 令 搜 索 潜 在 的 利 用 ： 可 以 通 过 W i n d o w s 应 用 程 序 事 件 日 志 检 测 C V E - 2 0 2 1 - 2 6 8 5 7 利 用 利 用 此 反 序 列 化 错 误 将 创 建 具 有 以 下 属 性 的 应 用 程 序 事 件 ： 来 源 ： M S E x c h a n g e 统 一 消 息 E n t r y T y p e ： 错 误 事 件 消 息 包 含 ： S y s t e m . I n v a l i d C a s t E x c e p t i o n 以 下 是 P o w e r S h e l l 命 令 ， 用 于 在 应 用 程 序 事 件 日 志 中 查 询 这 些 日 志 条 目 ： 可 以 通 过 以 下 E x c h a n g e 日 志 文 件 检 测 C V E - 2 0 2 1 - 2 7 0 6 5 利 用 ： 所 有 S e t -   < A p p N a m e >   V i r t u a l D i r e c t o r y 属 性 都 不 应 包 含 脚 本 。 I n t e r n a l U r l 和 E x t e r n a l U r l 应 该 仅 是 有 效 U r i s 。 以 下 是 P o w e r S h e l l 命 令 以 搜 索 潜 在 的 利 用 ： 原 文 链 接 ： h t t p s : / / w w w . m i c r o s o f t . c o m / s e c u r i t y / b l o g / 2 0 2 1 / 0 3 / 0 2 / h a f n i u m - t a r g e t i n g - e x c h a n g e - s e r v e r s / 阅 读 原 文 I m p o r t - C s v   - P a t h   ( G e t - C h i l d I t e m   - R e c u r s e   - P a t h   " $ e n v : P R O G R A M F I L E S M i c r o s o f t E x c h a n g e   S e r v e r V 1 5 L o g g i n g H t t p P r o x y "   - F i l t e r   ' * . l o g ' ) . F u l l N a m e   |   W h e r e - O b j e c t   {     $ _ . A u t h e n t i c a t e d U s e r   C ：   P r o g r a m   F i l e s     M i c r o s o f t     E x c h a n g e   S e r v e r     V 1 5     L o g g i n g     O A B G e n e r a t o r L o g f i n d s t r   / s n i p   / c : " D o w n l o a d   f a i l e d   a n d   t e m p o r a r y   f i l e "   " % P R O G R A M F I L E S % M i c r o s o f t E x c h a n g e   S e r v e r V 1 5 L o g g i n g O A B G e n e r a t o r L o g * . l o g " G e t - E v e n t L o g   - L o g N a m e   A p p l i c a t i o n   - S o u r c e   " M S E x c h a n g e   U n i f i e d   M e s s a g i n g "   - E n t r y T y p e   E r r o r   |   W h e r e - O b j e c t   {   $ _ . M e s s a g e   - l i k e   " * S y s t e m . I n v a l i d C a s t E x c e p t i o n * "   } C ：   P r o g r a m   F i l e s     M i c r o s o f t     E x c h a n g e   S e r v e r     V 1 5     L o g g i n g     E C P     S e r v e r S e l e c t - S t r i n g   - P a t h   " $ e n v : P R O G R A M F I L E S M i c r o s o f t E x c h a n g e   S e r v e r V 1 5 L o g g i n g E C P S e r v e r * . l o g "   - P a t t e r n   ' S e t - . + V i r t u a l D i r e c t o r y '
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理