搜索

[29129] 2021-08-21_【漏洞分析】分析利用ExchangeServer漏洞的攻击

文档创建者：s7ckTeam
浏览次数：81
最后更新：2025-01-19
2021-08-21_【漏洞分析】分析利用ExchangeServer漏洞的攻击 【 漏 洞 分 析 】 分 析 利 用   E x c h a n g e   S e r v e r   漏 洞 的 攻 击 3 6 5   D e f e n d e r   O t s 安 全   2 0 2 1 - 0 8 - 2 1 点 击 上 方 蓝 字 “ O t s 安 全 ” 一 起 玩 耍 M i c r o s o f t   将 继 续 监 视 和 调 查 利 用 最 近 的 本 地   E x c h a n g e   S e r v e r   漏 洞 的 攻 击 。 这 些 攻 击 现 在 由 多 个 威 胁 行 为 者 执 行 ， 从 出 于 经 济 动 机 的 网 络 犯 罪 分 子 到 国 家 支 持 的 团 体 。 为 了 帮 助 无 法 立 即 安 装 更 新 的 客 户 ， M i c r o s o f t 发 布 了 一 个 一 键 式 工 具 ， 可 以 自 动 缓 解 其 中 一 个 漏 洞 并 扫 描 服 务 器 以 查 找 已 知 攻 击 。 M i c r o s o f t   还 在 M i c r o s o f t   D e f e n d e r   A n t i v i r u s   中 构 建 了 此 功 能 ， 扩 大 缓 解 的 范 围 。 截 至 今 天 ， 我 们 已 经 看 到 仍 然 易 受 攻 击 的 服 务 器 数 量 显 着 减 少 — — 现 在 全 球   9 2 %   以 上 的 已 知   E x c h a n g e   I P   都 得 到 了 修 补 或 缓 解 。 我 们 将 继 续 与 我 们 的 客 户 和 合 作 伙 伴 合 作 以 缓 解 漏 洞 。 随 着 组 织 从 这 次 事 件 中 恢 复 过 来 ， 我 们 继 续 发 布 指 南 并 共 享 威 胁 情 报 ， 以 帮 助 检 测 和 驱 逐 受 影 响 环 境 中 的 威 胁 行 为 者 。 今 天 ， 我 们 分 享 了 一 些 攻 击 者 在 利 用 易 受 攻 击 的 服 务 器 后 做 了 什 么 的 情 报 ， 从 勒 索 软 件 到 数 据 泄 露 和 各 种 第 二 阶 段 有 效 载 荷 的 部 署 。 本 博 客 涵 盖 ： 有 关 已 知 攻 击 的 威 胁 情 报 和 技 术 详 细 信 息 ， 包 括 组 件 和 攻 击 路 径 ， 防 御 者 可 以 使 用 这 些 信 息 来 调 查 本 地   E x c h a n g e   服 务 器 是 否 在 修 补 之 前 遭 到 破 坏 ， 并 在 他 们 在 环 境 中 发 现 这 些 威 胁 时 全 面 响 应 和 修 复 这 些 威 胁 。 M i c r o s o f t   D e f e n d e r   防 病 毒 软 件 中 内 置 的 检 测 和 自 动 修 复 功 能 ， 以 及   M i c r o s o f t   D e f e n d e r   f o r   E n d p o i n t   等 解 决 方 案 中 的 调 查 和 修 复 功 能 如 何 帮 助 响 应 者 执 行 额 外 的 搜 索 和 修 复 威 胁 。 尽 管 到 目 前 为 止 勒 索 软 件 的 总 数 仍 然 非 常 小 ， 但 重 要 的 是 要 记 住 ， 这 些 威 胁 表 明 攻 击 者 可 以 多 快 地 调 整 其 活 动 以 利 用 新 披 露 的 漏 洞 并 瞄 准 未 修 补 的 系 统 ， 这 表 明 组 织 尽 快 应 用 安 全 更 新 。 我 们 强 烈 敦 促 组 织 识 别 和 更 新 易 受 攻 击 的 本 地   E x c h a n g e   服 务 器 ， 并 遵 循 我 们 收 集 的 缓 解 和 调 查 指 南 并 继 续 在 此 处 更 新 ： h t t p s   :   / / a k a . m s / E x c h a n g e V u l n s 。 减 轻 开 发 后 活 动 减 轻 开 发 后 活 动 第 一 个 已 知 的 利 用   E x c h a n g e   S e r v e r   漏 洞 的 攻 击 是 由 民 族 国 家 参 与 者   H A F N I U M   发 起 的 ， 我 们 在 本 博 客 中 对 此 进 行 了 详 细 介 绍 。 在   E x c h a n g e 服 务 器 漏 洞 被 披 露 并 发 布 安 全 更 新 后 的 三 周 内 ， M i c r o s o f t   看 到 许 多 其 他 攻 击 者 将 该 漏 洞 利 用 到 他 们 的 工 具 包 中 。 众 所 周 知 ， 攻 击 者 会 迅 速 对 补 丁 进 行 逆 向 工 程 并 开 发 漏 洞 利 用 。 在 远 程 代 码 执 行   ( R C E )   漏 洞 的 情 况 下 ， 能 够 在 组 织 修 补 之 前 获 得 访 问 权 限 的 攻 击 者 可 以 获 得 很 高 的 回 报 ， 因 为 修 补 系 统 不 一 定 会 删 除 攻 击 者 的 访 问 权 限 。 图   1 .   E x c h a n g e   S e r v e r   漏 洞 利 用 链
在 我 们 对 本 地   E x c h a n g e   S e r v e r   攻 击 的 调 查 中 ， 我 们 发 现 系 统 受 到 多 种 威 胁 的 影 响 。 许 多 受 感 染 的 系 统 尚 未 收 到 二 次 操 作 ， 例 如 人 为 操 作 的 勒 索 软 件 攻 击 或 数 据 泄 露 ， 这 表 明 攻 击 者 可 能 正 在 建 立 并 保 持 其 访 问 权 限 ， 以 备 以 后 可 能 采 取 的 行 动 。 这 些 操 作 可 能 涉 及 通 过 持 久 性 在 他 们 已 经 攻 陷 的   E x c h a n g e   服 务 器 上 执 行 后 续 攻 击 ， 或 使 用 在 这 些 攻 击 期 间 窃 取 的 凭 据 和 数 据 通 过 其 他 入 口 向 量 危 害 网 络 。 将 漏 洞 利 用 包 含 在 他 们 的 工 具 包 中 的 攻 击 者 ， 无 论 是 通 过 修 改 公 开 的 概 念 验 证 漏 洞 利 用 还 是 他 们 自 己 的 研 究 ， 都 利 用 他 们 的 机 会 之 窗 来 访 问 尽 可 能 多 的 系 统 。 一 些 攻 击 者 足 够 先 进 ， 可 以 从 系 统 中 移 除 其 他 攻 击 者 ， 并 使 用 多 个 持 久 点 来 维 持 对 网 络 的 访 问 。 我 们 已 在   M i c r o s o f t   安 全 解 决 方 案 中 构 建 了 针 对 这 些 威 胁 的 保 护 措 施 。 有 关 入 侵 指 标 、 检 测 详 细 信 息 和 高 级 搜 索 查 询 的 列 表 ， 请 参 阅 附 录 。 我 们 还 在 此 处 提 供 了 其 他 工 具 以 及 调 查 和 补 救 指 南 ： h t t p s   :   / / a k a . m s / e x c h a n g e - c u s t o m e r - g u i d a n c e 。 虽 然 建 议 对 系 统 进 行 全 面 调 查 ， 但 以 下 主 题 在 许 多 攻 击 中 都 很 常 见 。 这 些 是   M i c r o s o f t   一 直 在 监 视 的 流 行 威 胁 趋 势 ， 适 用 于 预 防 和 缓 解 的 现 有 解 决 方 案 和 建 议 ： W e b   s h e l l   –   在 撰 写 本 文 时 ， 我 们 观 察 到 的 许 多 未 打 补 丁 的 系 统 上 都 有 多 个   W e b   s h e l l 。 过 去 几 年 ， M i c r o s o f t   一 直 在 跟 踪   W e b   S h e l l   攻 击 的 兴 起 ， 确 保 我 们 的 产 品 检 测 到 这 些 威 胁 并 为 客 户 提 供 补 救 指 导 。 有 关   W e b   S h e l l   的 更 多 信 息 ， 请 阅 读 W e b   S h e l l   攻 击 继 续 上 升 。 我 们 还 发 布 了 有 关 使 用   A z u r e   S e n t i n e l 进 行 W e b   S h e l l   威 胁 追 踪 的 指 南 。 人 为 操 作 的 勒 索 软 件 — — 勒 索 软 件 攻 击 为 当 今 组 织 带 来 了 一 些 最 大 的 安 全 风 险 ， 这 些 攻 击 背 后 的 攻 击 者 很 快 就 利 用 了 内 部 部 署 的   E x c h a n g e S e r v e r   漏 洞 。 成 功 利 用 这 些 漏 洞 使 攻 击 者 能 够 发 起 人 为 操 作 的 勒 索 软 件 活 动 ， 微 软 一 直 密 切 关 注 这 一 趋 势 。 有 关 人 为 勒 索 软 件 攻 击 的 更 多 信 息 ， 包 括   M i c r o s o f t   解 决 方 案 和 改 进 防 御 的 指 南 ， 请 阅 读 ： 人 为 勒 索 软 件 攻 击 。 凭 据 窃 取   -   虽 然 凭 据 窃 取 不 是 其 中 一 些 攻 击 的 直 接 目 标 ， 但 对   E x c h a n g e   服 务 器 的 访 问 允 许 攻 击 者 访 问 并 可 能 窃 取 系 统 上 存 在 的 凭 据 。 攻 击 者 可 以 使 用 这 些 窃 取 的 凭 据 进 行 后 续 攻 击 ， 因 此 组 织 需 要 优 先 识 别 和 修 复 受 影 响 的 身 份 。 有 关 更 多 信 息 ， 请 阅 读 构 建 凭 证 卫 生 的 最 佳 实 践 。 在 以 下 部 分 中 ， 我 们 将 分 享 对 与 利 用   E x c h a n g e   服 务 器 漏 洞 相 关 的 已 知 入 侵 后 活 动 的 分 析 ， 因 为 它 有 助 于 理 解 这 些   T T P ， 以 便 使 用 类 似 的 策 略 或 工 具 防 御 其 他 参 与 者 。 虽 然 在 撰 写 本 文 时 ， 勒 索 软 件 等 破 坏 性 后 妥 协 活 动 的 水 平 可 能 有 限 ， 但   M i c r o s o f t   将 继 续 跟 踪 此 空 间 并 与 社 区 共 享 信 息 。 重 要 的 是 要 注 意 ， 使 用 一 些 后 妥 协 技 术 ， 攻 击 者 可 以 获 得 高 特 权 的 持 久 访 问 ， 但 许 多 有 影 响 的 后 续 攻 击 者 活 动 可 以 通 过 实 践 最 小 特 权 原 则 和 减 轻 横 向 移 动 来 减 轻 。 D o e j o C r y p t   勒 索 软 件 勒 索 软 件 D o e j o C r y p t   是 第 一 个 似 乎 利 用 这 些 漏 洞 的 勒 索 软 件 ， 在 补 丁 发 布 后 不 久 就 开 始 以 有 限 的 数 量 进 行 加 密 。 勒 索 软 件 攻 击 者 通 常 使 用 多 种 工 具 和 漏 洞 来 获 得 初 始 访 问 权 限 ， 包 括 通 过 代 理 或 “ 经 销 商 ” 购 买 访 问 权 限 ， 后 者 出 售 对 他 们 已 经 受 到 攻 击 的 系 统 的 访 问 权 限 。 D o e j o C r y p t   攻 击 始 于 C h o p p e r   w e b   s h e l l   的 一 个 变 种 被 部 署 到   E x c h a n g e   服 务 器 后 利 用 。 W e b   S h e l l   将 批 处 理 文 件 写 入 C : W i n d o w s T e m p x x . b a t 。 在 收 到   D o e j o C r y p t   勒 索 软 件 负 载 的 所 有 系 统 上 都 可 以 找 到 该 批 处 理 文 件 ， 它 会 备 份 安 全 帐 户 管 理 器   ( S A M )   数 据 库 和 系 统 和 安 全 注 册 表 配 置 单 元 ， 从 而 允 许 攻 击 者 稍 后 访 问 系 统 上 本 地 用 户 的 密 码 ， 等 等 至 关 重 要 的 是 ， 在 注 册 表 的   L S A   S e c r e t s   部 分 ， 其 中 存 储 了 服 务 和 计 划 任 务 的 密 码 。
图   2 .   x x . b a t 鉴 于 管 理 员 通 常 在   E x c h a n g e   服 务 器 上 使 用 的 配 置 ， 许 多 受 感 染 的 系 统 可 能 至 少 配 置 了 一 项 服 务 或 计 划 任 务 ， 并 使 用 高 特 权 帐 户 执 行 备 份 等 操 作 。 由 于 服 务 帐 户 凭 据 不 会 经 常 更 改 ， 因 此 即 使 攻 击 者 因 防 病 毒 检 测 而 失 去 初 始   W e b   S h e l l   访 问 权 限 ， 这 也 可 为 攻 击 者 提 供 巨 大 优 势 ， 因 为 该 帐 户 可 用 于 稍 后 提 升 权 限 ， 这 就 是 我 们 强 烈 推 荐 的 原 因 在 最 低 特 权 访 问 的 原 则 下 运 行 。 批 处 理 文 件 将 注 册 表 配 置 单 元 保 存 到 一 个 半 唯 一 的 位 置 C : w i n d o w s t e m p d e b u g s m s ， 将 它 们 组 合 成 一 个   C A B   文 件 以 进 行 渗 漏 ， 然 后 从 系 统 中 清 除 文 件 夹 。 该 文 件 还 启 用 了   W i n d o w s   远 程 管 理 并 设 置 了 一 个   H T T P   侦 听 器 ， 表 明 攻 击 者 可 能 会 利 用   E x c h a n g e   S e r v e r   面 向   I n t e r n e t   的 特 性 ， 并 在 删 除 其 他 工 具 后 使 用 此 方 法 进 行 访 问 。 图   3 .   x x . b a t   操 作 该 x x . b a t 文 件 已 经 在 更 多 的 系 统 不 是 已 经 被 攻 击 者 D o e j o C r y p t 赎 ， 这 意 味 着 运 行 ， 而 不 是 所 有 的 系 统 都 搬 到 了 赎 金 阶 段 ， 攻 击 者 已 经 获 得 了 多 个 证 书 的 访 问 。 在 攻 击 者 进 入 赎 金 阶 段 的 系 统 上 ， 我 们 看 到 侦 察 命 令 通 过 与   x x . b a t   文 件 （ 在 本 例 中 为   C h o p p e r   的 一 个 版 本 ） 相 同 的   w e b   s h e l l 运 行 ： 图   4 .   D o e j o C r y p t   侦 察 命 令 完 成 这 些 命 令 后 ， W e b   S h e l l   会 将 一 个 新 的 有 效 载 荷 投 放 到 C : W i n d o w s H e l p ， 这 与 许 多 人 为 操 作 的 勒 索 软 件 活 动 一 样 ， 会 导 致 攻 击 框 架 C o b a l t   S t r i k e 。 在 观 察 到 的 情 况 下 ， 下 载 的 有 效 载 荷 是   s h e l l c o d e ， 文 件 名 为 n e w 4 4 3 . e x e 或 D i r e c t _ L o a d . e x e 。 运 行 时 ， 此 有 效 负 载 将 自 身 注 入 n o t e p a d . e x e 并 访 问   C 2   以 下 载   C o b a l t   S t r i k e   s h e l l c o d e 。
图   5 .   D o e j o C r y p t   勒 索 软 件 攻 击 链 在 攻 击 的 动 手 键 盘 阶 段 ， 一 个 新 的 有 效 载 荷 被 下 载 到 C : W i n d o w s H e l p ， 其 名 称 类 似 于 s 1 . e x e 和 s 2 . e x e 。 此 有 效 负 载 是   D o e j o C r y p t   勒 索 软 件 ， 它 对 新 加 密 的 文 件 使 用 . C R Y P T 扩 展 名 和 非 常 基 本 的 r e a d m e . t x t 赎 金 说 明 。 在 某 些 情 况 下 ， x x . b a t 被 丢 弃 和 勒 索 软 件 有 效 负 载 运 行 之 间 的 时 间 不 到 半 小 时 。 图   6 .   D o e j o C r y p t   赎 金 票 据 虽 然   D o e j o C r y p t   有 效 载 荷 是 攻 击 者 行 为 最 明 显 的 结 果 ， 但 如 果 组 织 不 重 置 受 感 染 系 统 上 的 凭 据 ， 他 们 获 得 的 凭 据 的 访 问 权 限 可 以 用 于 未 来 的 活 动 。 在 x x . b a t 存 在 且 攻 击 者 能 够 获 得 域 管 理 员 权 限 的 系 统 上 观 察 到 的 另 一 个 重 叠 活 动 是 运 行 脚 本 以 使 用 n t d s u t i l 对   A c t i v e   D i r e c t o r y   进 行 快 照 — — 如 果 成 功 执 行 该 操 作 ， 攻 击 者 可 以 访 问 所 有 来 自 单 个 受 感 染 系 统 的   A c t i v e   D i r e c t o r y   中 的 密 码 。 L e m o n 僵 尸 网 络 僵 尸 网 络 加 密 货 币 矿 工 是 我 们 观 察 到 的 第 一 批 有 效 载 荷 中 的 一 些 ， 这 些 载 荷 被 攻 击 者 从 后 利 用 网 络   s h e l l   中 丢 弃 。 在 安 全 更 新 发 布 后 的 前 几 天 ， 我 们 观 察 到 多 个 以 前 针 对   S h a r e P o i n t   服 务 器 的 加 密 货 币 矿 工 活 动 ， 将   E x c h a n g e   S e r v e r   漏 洞 利 用 添 加 到 他 们 的 曲 目 中 。 这 些 硬 币 矿 工 中 的 大 多 数 是   X M R i g   矿 工 的 变 体 ， 许 多 是 通 过 多 功 能 植 入 物 到 达 的 ， 具 有 下 载 新 有 效 载 荷 甚 至 横 向 移 动 的 能 力 。 L e m o n   D u c k   是 一 种 已 知 的 加 密 货 币 僵 尸 网 络 ， 以 其 代 码 中 的 变 量 命 名 ， 它 潜 入   E x c h a n g e   漏 洞 利 用 行 动 ， 采 用 不 同 的 漏 洞 利 用 方 式 ， 并 选 择 使 用 来 自   w 3 w p （ I I S   工 作 进 程 ） 的 直 接   P o w e r S h e l l   命 令 的 无 文 件 / 无   w e b   s h e l l   选 项 对 于 某 些 攻 击 。 在 仍 然 维 持 他 们 基 于 电 子 邮 件 的 正 常 活 动 的 同 时 ， L e m o n   D u c k   运 营 商 破 坏 了 许 多   E x c h a n g e   服 务 器 ， 并 朝 着 更 像 恶 意 软 件 加 载 程 序 而 不 是 简 单 的 矿 工 的 方 向 发 展 。 使 用 允 许 直 接 执 行 命 令 而 不 是 丢 弃   W e b   s h e l l   的 攻 击 形 式 ， L e m o n   D u c k   操 作 员 运 行 标 准 的   I n v o k e   E x p r e s s i o n   命 令 来 下 载 有 效 负 载 。 在 使 用 相 同 的   C 2   和 下 载 服 务 器 一 段 时 间 后 ， 操 作 员 对 其 执 行 的 命 令 应 用 了 不 同 程 度 的 混 淆 。 图   7 .   L e m o n   D u c k   负 载 下 载 的 示 例 执 行 L e m o n   D u c k   负 载 是 经 过 编 码 和 混 淆 的   P o w e r S h e l l   脚 本 。 它 首 先 从 系 统 中 删 除 各 种 安 全 产 品 ， 然 后 为 持 久 性 创 建 计 划 任 务 和   W M I   事 件 订 阅 。 下 载 第 二 个 脚 本 以 试 图 逃 避   M i c r o s o f t   D e f e n d e r   A n t i v i r u s ， 滥 用 其 管 理 权 限 运 行 S e t - M P P r e f e r e n c e 命 令 以 禁 用 实 时 监 控 （ M i c r o s o f t
D e f e n d e r 篡 改 保 护 阻 止 的 策 略 ） 并 为   C :   驱 动 器 添 加 扫 描 排 除 项 和   P o w e r S h e l l   进 程 。 图   8 .   L e m o n   D u c k   负 载 一 个 随 机 命 名 的 计 划 任 务 每 小 时 连 接 到   C 2   以 下 载 新 的 有 效 负 载 ， 其 中 包 括 各 种 横 向 移 动 和 凭 据 盗 窃 工 具 。 运 营 商 被 发 现 下 载   R A T   和 信 息 窃 取 程 序 ， 包 括 R a m n i t 有 效 载 荷 。 图   9 .   L e m o n   D u c k   开 发 后 活 动 在 某 些 情 况 下 ， 运 营 商 利 用 受 到 攻 击 的 邮 件 服 务 器 来 访 问 邮 箱 并 使 用 各 种 彩 色 电 子 邮 件 主 题 发 送 包 含   L e m o n   D u c k   负 载 的 电 子 邮 件 。 图   1 0 .   可 能 是 恶 意 电 子 邮 件 的 电 子 邮 件 主 题 图   1 1 .   附 件 变 量
在 一 个 值 得 注 意 的 例 子 中 ， 柠 檬 鸭 操 作 员 破 坏 了 一 个 已 经 有 x x . b a t 和   w e b   s h e l l   的 系 统 。 在 以 非   w e b   s h e l l   方 法 在 系 统 上 建 立 持 久 性 后 ， 观 察 到   L e m o n   D u c k   操 作 员 清 理 其 他 攻 击 者 在 系 统 上 的 存 在 并 使 用 他 们 托 管 的 合 法 清 理 脚 本 缓 解   C V E - 2 0 2 1 - 2 6 8 5 5   ( S S R F )   漏 洞 他 们 自 己 的 恶 意 服 务 器 。 此 操 作 可 防 止 进 一 步 利 用 服 务 器 并 删 除   W e b   外 壳 ， 从 而 使   L e m o n   D u c k   可 以 独 享 对 受 感 染 服 务 器 的 访 问 权 限 。 这 强 调 需 要 根 据 传 统 的 事 件 响 应 流 程 对 暴 露 的 系 统 进 行 全 面 调 查 ， 即 使 它 们 已 被 完 全 修 补 和 缓 解 。 P y d o m e r   勒 索 软 件 勒 索 软 件 虽 然   D o e j o C r y p t   是 一 种 新 的 勒 索 软 件 负 载 ， 但 攻 击 者 通 过 本 地   E x c h a n g e   S e r v e r   漏 洞 获 得 的 访 问 权 限 可 能 会 成 为 复 杂 网 络 犯 罪 经 济 的 一 部 分 ， 其 他 勒 索 软 件 运 营 商 和 附 属 机 构 会 利 用 它 。 第 一 个 利 用 这 些 漏 洞 的 现 有 勒 索 软 件 系 列 是   P y d o m e r 。 该 勒 索 软 件 家 族 之 前 曾 在 攻 击 中 使 用 漏 洞 ， 特 别 是 利 用   P u l s e   S e c u r e   V P N   漏 洞 （ P u l s e   S e c u r e   已 发 布 安 全 补 丁 ） 来 窃 取 凭 据 并 执 行 勒 索 软 件 攻 击 。 在 此 活 动 中 ， 运 营 商 扫 描 并 大 规 模 破 坏 未 打 补 丁 的   E x c h a n g e   服 务 器 ， 以 投 放   W e b   外 壳 。 他 们 比 其 他 一 些 攻 击 者 开 始 得 晚 ， 在   3   月   1 8   日 至 3   月   2 0   日 之 间 发 生 了 许 多 妥 协 ， 这 是 可 用 的 未 修 补 系 统 较 少 的 窗 口 。 然 后 他 们 放 下 了 一 个   w e b   s h e l l ， 文 件 名 格 式 值 得 注 意 ： “ C h a c k [ W o r d ] [ C o u n t r y   a b b r e v i a t i o n ] ” ： 图   1 2 .   观 察 到 的   P y d o m e r   攻 击 者 使 用 的 示 例   w e b   s h e l l   名 称 这 些   w e b   s h e l l   在 大 约   1 , 5 0 0   个 系 统 上 被 观 察 到 ， 并 非 所 有 系 统 都 进 入 勒 索 软 件 阶 段 。 攻 击 者 然 后 使 用 他 们 的 网 络 外 壳 转 储 t e s t . b a t 的 是 ， 在 攻 击 链 的 执 行 类 似 功 能 的 批 处 理 文 件 x x . b a t 的 D o e j o C r y p t 运 营 商 ， 并 允 许 他 们 进 行 L S A S S 进 程 的 转 储 。 图   1 3 .   P y d o m e r   开 发 后 活 动 这 种 访 问 本 身 对 于 攻 击 者 以 后 的 攻 击 很 有 价 值 ， 类 似 于 他 们 在 使 用   P u l s e   S e c u r e   V P N   漏 洞 期 间 获 得 的 凭 据 。 从   E x c h a n g e   系 统 获 得 的 高 特 权 凭 据 可 能 包 含 具 有 备 份 特 权 的 域 管 理 员 帐 户 和 服 务 帐 户 ， 这 意 味 着 这 些 攻 击 者 可 以 在   E x c h a n g e   S e r v e r   打 补 丁 后 很 长 时 间 内 对 他 们 破 坏 的 网
络 执 行 勒 索 软 件 和 渗 漏 操 作 ， 甚 至 通 过 不 同 方 式 进 入 . 在 攻 击 者 确 实 进 入 第 二 阶 段 勒 索 软 件 操 作 的 系 统 上 ， 他 们 利 用 编 译 为 可 执 行 文 件 的   P y t h o n   脚 本 和   P y t h o n   加 密 库 来 加 密 文 件 。 然 后 攻 击 者 通 过 他 们 的   w e b   s h e l l   执 行 一 个   P o w e r S h e l l   脚 本 ， 该 脚 本 充 当 勒 索 软 件 的 下 载 器 和 分 发 机 制 。 图   1 4 . 用 于 获 取   P y d o m e r   负 载 的   P o w e r S h e l l   下 载 器 和 传 播 器 该 脚 本 从 域 生 成 算 法   ( D G A )   域 上 托 管 的 站 点 获 取 有 效 负 载 ， 并 尝 试 将 有 效 负 载 传 播 到 整 个 网 络 ， 首 先 尝 试 使 用   I n v o k e - W M I M e t h o d   通 过 W M I   传 播 有 效 负 载 以 尝 试 连 接 到 系 统 ， 然 后 失 败 如 果 失 败 ， 请 使 用   E n t e r - P S S e s s i o n   返 回   P o w e r S h e l l   远 程 处 理 。 该 脚 本 在   w e b   s h e l l   的 上 下 文 中 运 行 ， 在 大 多 数 情 况 下 是 本 地 系 统 ， 因 此 这 种 横 向 移 动 策 略 不 太 可 能 起 作 用 ， 除 非 在 运 行 高 度 不 安 全 和 不 推 荐 配 置 的 组 织 中 ， 例 如 在 高 特 权 组 中 拥 有 计 算 机 对 象 。 P y d o m e r   勒 索 软 件 是 一 个 编 译 为 可 执 行 文 件 的   P y t h o n   脚 本 ， 并 使 用   P y t h o n   加 密 库 来 加 密 文 件 。 勒 索 软 件 对 文 件 进 行 加 密 并 附 加 一 个 随 机 扩 展 名 ， 然 后 放 置 一 个 名 为 d e c r y p t _ f i l e . T x T 的 赎 金 票 据 。 图   1 5 .   P y d o m e r 赎 金 票 据 有 趣 的 是 ， 攻 击 者 似 乎 部 署 了 非 加 密 勒 索 策 略 。 继 著 名 的 勒 索 软 件 组 织 （ 如   M a z e   和   E g r e g o r ） 泄 露 数 据 以 获 取 报 酬 之 后 ， P y d o m e r   黑 客 将 替 代 的 r e a d m e . t x t 投 放 到 系 统 中 ， 但 没 有 对 文 件 进 行 加 密 。 这 个 选 项 可 能 是 半 自 动 化 的 ， 或 者 是 加 密 过 程 失 败 的 副 作 用 ， 因 为 他 们 访 问 的 一 些 系 统 是 没 有 显 示 数 据 泄 露 的 测 试 系 统 。 如 果 遇 到 该 说 明 ， 应 认 真 对 待 ， 因 为 攻 击 者 拥 有 对 系 统 的 完 全 访 问 权 限 并 且 可 能 能 够 窃 取 数 据 。
图   1 6 .   P y d o m e r   勒 索   r e a d m e . t x t 凭 证 盗 窃 、 地 盘 争 夺 战 和 顽 固 的 坚 持 凭 证 盗 窃 、 地 盘 争 夺 战 和 顽 固 的 坚 持 如 果 服 务 器 未 在 最 低 权 限 配 置 中 运 行 ， 凭 据 盗 窃 可 能 会 为 攻 击 者 提 供 可 观 的 投 资 回 报 ， 超 出 他 们 最 初 对 电 子 邮 件 和 数 据 的 访 问 权 限 。 许 多 组 织 都 拥 有 在 这 些 系 统 上 运 行 的 备 份 代 理 软 件 和 计 划 任 务 ， 并 具 有 域 管 理 员 级 别 的 权 限 。 对 于 这 些 组 织 ， 攻 击 者 可 能 能 够 在 不 进 行 横 向 移 动 的 情 况 下 获 取 高 特 权 凭 证 ， 例 如 ， 使 用   C O M   服 务   D L L   作 为 一 个 活 生 生 的 二 进 制 文 件 来 执 行   L S A S S   进 程 的 转 储 ： 图   1 7 . 使 用   C O M   服 务   D L L   转 储   L S A S S   进 程 观 察 到 的 凭 据 盗 窃 攻 击 的 数 量 ， 再 加 上 通 常 授 予   E x c h a n g e   服 务 器 的 帐 户 的 高 特 权 ， 意 味 着 这 些 攻 击 可 能 会 继 续 影 响 那 些 即 使 在 应 用 补 丁 后 也 没 有 完 全 修 复 的 组 织 。 虽 然 观 察 到 的 勒 索 软 件 尝 试 规 模 较 小 或 存 在 错 误 ， 但 仍 有 可 能 更 有 技 巧 的 团 体 利 用 在 这 些 攻 击 中 获 得 的 凭 据 进 行 后 续 攻 击 。 攻 击 者 还 利 用 他 们 的 访 问 权 限 ， 使 用 内 置 的   E x c h a n g e   c o m m a n d l e t   和 d s q u e r y 进 行 广 泛 的 侦 察 ， 以 窃 取 有 关 网 络 配 置 、 用 户 信 息 和 电 子 邮 件 资 产 的 信 息 。 虽 然   L e m o n   D u c k   运 营 商 可 能 有 最 大 胆 的 方 法 从 他 们 所 攻 陷 的 系 统 中 移 除 其 他 攻 击 者 ， 但 他 们 并 不 是 唯 一 这 样 做 的 攻 击 者 。 其 他 人 被 观 察 到 清 理   . a s p x   和   . b a t   文 件 以 移 除 其 他 攻 击 者 ， 甚 至 通 过 删 除   . m o f   文 件 并 重 新 启 动 服 务 来 重 建   W M I   数 据 库 。 随 着 未 打 补 丁 机 器 的 窗 口 关 闭 ， 攻 击 者 对 维 护 对 他 们 所 利 用 的 系 统 的 访 问 表 现 出 越 来 越 大 的 兴 趣 。 通 过 利 用 “ 无 恶 意 软 件 ” 持 久 性 机 制 ， 例 如 启 用   R D P 、 安 装 影 子   I T   工 具 和 添 加 新 的 本 地 管 理 员 帐 户 ， 攻 击 者 希 望 逃 避 可 能 仅 专 注 于   W e b   外 壳 、 A V   扫 描 和 修 补 的 事 件 响 应 工 作 。 防 御 漏 洞 利 用 和 妥 协 后 活 动 防 御 漏 洞 利 用 和 妥 协 后 活 动 攻 击 者 结 合 使 用 本 地   E x c h a n g e   S e r v e r   漏 洞 绕 过 身 份 验 证 并 获 得 写 入 文 件 和 运 行 恶 意 代 码 的 能 力 。 这 些 漏 洞 的 最 佳 和 最 完 整 的 补 救 措 施 是 更 新 到 受 支 持 的 累 积 更 新 并 安 装 所 有 安 全 更 新 。 可 以 在 此 处 找 到 全 面 的 缓 解 指 南 ： h t t p s   :   / / a k a . m s / E x c h a n g e V u l n s 。 正 如 本 博 客 讨 论 的 后 利 用 攻 击 中 所 见 ， 攻 击 者 在 成 功 利 用 漏 洞 后 可 以 采 取 的 路 径 多 种 多 样 。 如 果 您 已 经 确 定 或 有 理 由 怀 疑 您 的 网 络 上 存 在 这 些 威 胁 ， 您 可 以 立 即 采 取 以 下 步 骤 ： 调 查 暴 露 的   E x c h a n g e   服 务 器 是 否 受 到 攻 击 ， 无 论 其 当 前 的 补 丁 状 态 如 何 。 通 过 我 们 的 指 导 查 找   w e b   s h e l l ， 并 使 用 E x c h a n g e   本 地 缓 解 工 具 运 行 完 整 的   A V   扫 描 。 调 查 本 地 用 户 和 组 ， 甚 至 是 非 管 理 用 户 的 更 改 ， 并 确 保 所 有 用 户 都 需 要 密 码 才 能 登 录 。 在 系 统 易 受 攻 击 期 间 创 建 的 新 用 户 帐 户 （ 由 事 件   I D 4 7 2 0   表 示 ） 可 能 表 示 恶 意 用 户 创 建 。 如 果 您 还 没 有 这 样 做 ， 请 使 用 L A P S   之 类 的 工 具 重 置 和 随 机 化 本 地 管 理 员 密 码 。 查 找 可 能 已 被 攻 击 者 配 置 为 允 许 持 久 性 的 系 统 的   R D P 、 防 火 墙 、 W M I   订 阅 和   W i n d o w s   远 程 管 理   ( W i n R M )   配 置 的 更 改 。 查 找 事 件   I D   1 1 0 2   以 确 定 攻 击 者 是 否 清 除 了 事 件 日 志 ， 这 是 攻 击 者 使 用 e x e 执 行 以 试 图 隐 藏 其 踪 迹 的 活 动 。 寻 找 新 的 持 久 化 机 制 ， 例 如 意 外 服 务 、 计 划 任 务 和 启 动 项 。
寻 找 攻 击 者 可 能 为 了 持 久 性 而 安 装 的 影 子   I T   工 具 ， 例 如 非   M i c r o s o f t   R D P   和 远 程 访 问 客 户 端 。 检 查 邮 箱 级 电 子 邮 件 转 发 设 置 （ F o r w a r d i n g A d d r e s s 和 F o r w a r d i n g S M T P A d d r e s s 属 性 ） ， 检 查 邮 箱 收 件 箱 规 则 （ 可 能 用 于 从 外 部 转 发 电 子 邮 件 ） ， 并 检 查 您 可 能 不 认 识 的   E x c h a n g e   传 输 规 则 。 虽 然 我 们 的 响 应 工 具 会 检 查 并 删 除 已 知 的   W e b   外 壳 和 攻 击 工 具 ， 但 建 议 对 这 些 系 统 进 行 全 面 调 查 。 有 关 全 面 的 调 查 和 缓 解 指 南 和 工 具 ， 请 参 阅 h t t p s : / / a k a . m s / e x c h a n g e - c u s t o m e r - g u i d a n c e 。 此 外 ， 以 下 是 建 立 凭 证 和 实 践 最 小 特 权 原 则 的 最 佳 实 践 ： 按 照 指 南 以 最 低 权 限 配 置 运 行   E x c h a n g e ： h t t p s   :   / / a d s e c u r i t y . o r g / ? p = 4 1 1 9 。 确 保 服 务 帐 户 和 计 划 任 务 以 所 需 的 最 低 权 限 运 行 。 避 免 使 用 像 域 管 理 员 和 备 份 操 作 员 这 样 的 特 权 群 体 ， 而 更 喜 欢 只 访 问 他 们 需 要 的 系 统 的 帐 户 。 使 用 L A P S   等 工 具 随 机 设 置 本 地 管 理 员 密 码 以 防 止 横 向 移 动 。 确 保 管 理 员 养 成 良 好 的 管 理 习 惯 ， 例 如 P r i v i l e g e d   A d m i n   W o r k s t a t i o n s 。 使 用 组 策 略 防 止 域 管 理 员 等 特 权 帐 户 登 录 成 员 服 务 器 和 工 作 站 ， 以 限 制 凭 据 暴 露 和 横 向 移 动 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理