在利用最近披露的ProxyShell漏洞入侵Microsoft Exchange服務(wù)器后，一個名為LockFile的新的勒索軟件團(tuán)伙對Windows域進(jìn)行加密。
ProxyShell是由三個連鎖Microsoft Exchange漏洞組成攻擊的名稱，這些漏洞導(dǎo)致未經(jīng)身份驗證的遠(yuǎn)程代碼執(zhí)行。
Devcore首席安全研究員Orange Tsai在今年4月份Pwn2Own 2021黑客大賽中發(fā)現(xiàn)它們，將它們鏈接在一起以接管Microsoft Exchange 服務(wù)器 。
CVE-2021-34473 - 預(yù)身份驗證路徑混淆導(dǎo)致ACL繞過(KB5001779于4月修補(bǔ))
CVE-2021-34523 - Exchange PowerShell后端的特權(quán)提升(KB5001779于4月修補(bǔ))
CVE-2021-31207 - 授權(quán)后任意文件寫入導(dǎo)致 RCE(KB5003435于5月修補(bǔ))
雖然微軟在2021年5月完全修補(bǔ)了這些漏洞，但最近披露了更多的技術(shù)細(xì)節(jié)，允許安全研究人員和威脅參與者復(fù)制該漏洞。
據(jù)BleepingComputer上周報道，這導(dǎo)致攻擊者積極使用ProxyShell漏洞掃描并攻擊微軟Exchange服務(wù)器。在利用Exchange服務(wù)器后，攻擊者投放了可用于上傳其他程序并執(zhí)行它們的web shell。
NCC Group的漏洞研究員 Rich Warren稱，Web shell被用于安裝 .NET 后門，該后門下載了無害的有效負(fù)載。
此后，一種名為LockFile的新勒索軟件操作使用Microsoft Exchange ProxyShell和 Windows PetitPotam漏洞來接管Windows域并加密設(shè)備。
在破壞網(wǎng)絡(luò)時，攻擊者將首先使用ProxyShell漏洞訪問內(nèi)部部署的Microsoft Exchange服務(wù)器。賽門鐵克表示，一旦他們站穩(wěn)腳跟，LockFile 團(tuán)伙就會使用 PetitPotam漏洞來接管域控制器，從而接管Windows域。
關(guān)于LockFile勒索軟件
目前，關(guān)于新的LockFile勒索軟件操作還不太清楚。
今年7月首次看到這封勒索信時，它的名字是“LOCKFILE-README”。Hta ，但沒有任何特定的品牌，如下所示。
從上周開始，BleepingComputer開始收到勒索軟件團(tuán)伙的報告，該團(tuán)伙使用帶有標(biāo)記的勒索筆記，表明它們被稱為“LockFile”，如下所示。
這些贖金票據(jù)使用“[victim_name]-LOCKFILE-README.hta”的命名格式，并提示受害者通過Tox或電子郵件與他們聯(lián)系以協(xié)商贖金。該操作使用的當(dāng)前電子郵件地址是[email protected]，這似乎參考了Conti勒索軟件的操作。當(dāng)加密文件時，勒索軟件將附加.lockfile擴(kuò)展名到加密文件的名稱。
超過30,400臺Exchange服務(wù)器易受攻擊
盡管微軟在今年5月和7月修補(bǔ)了這三個漏洞。但就像今年3月和4月披露的 ProxyLogon和ProxyOracle一樣，并非所有服務(wù)器管理員都及時修補(bǔ)易受攻擊的系統(tǒng)。
在ProxyShell概念驗證代碼發(fā)布兩天后，ISC SANS于8月8日進(jìn)行一次掃描，發(fā)現(xiàn)總共 100,000個系統(tǒng)中的30,400多臺Exchange服務(wù)器尚未修補(bǔ)，并且仍然容易受到攻擊。
盡快打補(bǔ)丁
由于LockFile操作同時使用Microsoft Exchange ProxyShell漏洞和Windows PetitPotam NTLM Relay漏洞，因此Windows管理員必須安裝最新的更新。
對于ProxyShell漏洞，您可以安裝最新的Microsoft Exchange累積更新來修補(bǔ)該漏洞。
要修補(bǔ)PetitPotam攻擊，你可以使用一個非官方的補(bǔ)丁從0patch來阻止這個NTLM中繼攻擊向量，或者應(yīng)用NETSH RPC過濾器來阻止對MS-EFSRPC API中脆弱函數(shù)的訪問。
Beaumont表示可以執(zhí)行以下Azure Sentinel查詢來檢查Microsoft Exchange服務(wù)器是否已掃描ProxyShell漏洞。
W3CIISLog
| where csUriStem == "/autodiscover/autodiscover.json"
| where csUriQuery has "PowerShell" | where csMethod == "POST"
強(qiáng)烈建議所有組織盡快應(yīng)用補(bǔ)丁并為其Exchange服務(wù)器創(chuàng)建脫機(jī)備份。
啟示
美國國家標(biāo)準(zhǔn)與技術(shù)局(NIST)、國家漏洞數(shù)據(jù)庫(NVD)數(shù)據(jù)顯示，90%以上的網(wǎng)絡(luò)安全問題是由軟件自身的安全漏洞被利用導(dǎo)致，由此可見軟件中漏洞為網(wǎng)絡(luò)安全帶來極大危害。從以上可以看出，盡管軟件開發(fā)公司已針對漏洞及時發(fā)布補(bǔ)丁，但未進(jìn)行修正的企業(yè)仍舊大量存在，網(wǎng)絡(luò)安全與漏洞之間存在一場較量，謹(jǐn)慎預(yù)防網(wǎng)絡(luò)攻擊的公司成為最后贏家。隨著敏捷開發(fā)盛行軟件開發(fā)周期逐漸縮短，面對潛藏的網(wǎng)絡(luò)攻擊者和惡意軟件，軟件安全需置于開發(fā)首位。調(diào)查顯示，超過六成的安全漏洞與代碼有關(guān)，而通過靜態(tài)代碼檢測可以減少30-70%的安全漏洞，結(jié)合SCA、動態(tài)應(yīng)用安全測試等方式，在軟件開發(fā)期間確保軟件安全，不但為網(wǎng)絡(luò)安全打好基礎(chǔ)，也將企業(yè)修復(fù)漏洞成本降至最低。
參讀鏈接：
文章版權(quán)歸作者所有，未經(jīng)允許請勿轉(zhuǎn)載,若此文章存在違規(guī)行為，您可以聯(lián)系管理員刪除。
轉(zhuǎn)載請注明本文地址：http://systransis.cn/yun/118542.html
