Play fidye yazılımı tehdidi aktörleri, Outlook Web Erişim (OWA) aracılığıyla savunmasız sunucularda uzaktan kod yürütme (RCE) kazanmak için Proxynotshell URL yeniden yazma azaltmalarını atlayan yeni bir istismar zinciri kullanıyor.
Siber güvenlik firması Crowdstrike, kurbanların ağlarına sızmak için tehlikeye atılan Microsoft Exchange sunucularının kullanıldığı oyun fidye yazılımı saldırılarını araştırırken istismar (OWASSRF olarak adlandırıldı) gördü.
Meydan okulu sunucularda keyfi komutlar yürütmek için, fidye yazılımı operatörleri, Proxynotshell tarafından sömürülen aynı hata olan CVE-2022-41082'yi kötüye kullanmak için uzaktan PowerShell'den yararlandı.
Araştırmacılar, "Her durumda, Crowdstrike ilgili günlükleri gözden geçirdi ve ilk erişim için CVE-2022-41040'ın kullanıldığına dair bir kanıt olmadığını belirledi." Dedi.
"Bunun yerine, karşılık gelen isteklerin doğrudan Outlook Web Uygulaması (OWA) bitiş noktası aracılığıyla yapıldığı ve daha önce değişim için açıklanmayan bir istismar yöntemini gösterdiği ortaya çıktı."
Proxynotshell Hedef CVE-2022-41040 hedefinden yararlanırken, Crowdstrike, yeni keşfedilen istismar tarafından istismar edilen kusurun muhtemelen CVE-2022-41080 olduğunu buldu, bir güvenlik kusuru, kritik olarak etiketlenmiş ve değişim sunucularında uzaktan ayrıcalık artmasına izin veren bir güvenlik kusuru, vahşi doğada kullanılmayan bir güvenlik kusuru .
CVE-2022-41080, ZCGONVH tarafından 360 Noah laboratuvarı ve RSKVP93, Q5CA ve NXHOANG99 ile Viettel siber güvenliğinin VCSLAB ile keşfedildi ve rapor edildi.
Hatayı bulan araştırmacılardan biri, "şirket içi RCE borsası, çevrimiçi değişim, Skype için Skype için (belki SFB Online+ekipleri de bulamadığını ancak PowerShell uzak uç noktasını bulamayacağını söyledi. ). "
Şu anda, tehdit aktörlerinin bu Microsoft Exchange saldırı zincirini, düzeltmeler serbest bırakılmadan önce sıfır gün istismarı olarak kötüye kullanıp kullanmadığı belirsiz.
Crowdstrike güvenlik araştırmacıları, bu son oyun fidye yazılımı saldırılarını araştırırken bulunan günlük bilgilerini eşleştirmek için kendi kavram kanıtı (POC) kodlarını geliştirmeye çalışırken, Huntress Labs Tehdit Araştırmacısı Dray Agha, 14 Aralık'ta bir tehdit oyuncunun araçlarını çevrimiçi buldu ve paylaştı. .
Sızan takım, Play’in Exchange istismarı için bir POC içeriyordu, bu da Crowdstrike'ın Play Ransomware’in saldırılarında kaydedilen kötü amaçlı etkinlikleri çoğaltmasına izin verdi.
Crowdstrike, kavram kanıtı istismarının, Plink ve Anydesk gibi uzaktan erişim araçlarını tehlikeye atılan sunucularda bırakmak için kullanıldığına inanıyor.
BleepingComputer ayrıca Agha tarafından sızdırılan takımın, muhtemelen saldırılarda konuşlandırılan ConnectWise uzaktan yönetim yazılımı içerdiğini buldu.
Şirket içi Microsoft Exchange sunucularına sahip kuruluşların, CVE-2022-41080 yaması uygulanana kadar en son değişim güvenlik güncellemelerini (Kasım 2022 ile minimum yama seviyesi ile) uygulaması veya OWA'yı devre dışı bırakmaları önerilir.
Oyun fidye yazılımı operasyonu, ilk kurbanların BleepingComputer forumlarındaki saldırıların serpilmesiyle başa çıkmak için yardıma ulaşmaya başladığı Haziran 2022'de başlatıldı.
Haziran ayında piyasaya sürülmesinden bu yana, düzinelerce oyun fidye yazılımı kurbanı, verilerini şifrelemek için hangi fidye yazılımının kullanıldığını belirlemek için kimlik fidye yazılımı platformuna örnek veya fidye notu yükledi.
Çoğu fidye yazılımı işleminin aksine, oyun iştirakleri Play Word ve bir iletişim e -posta adresi ile basit fidye notları düşürür.
Şu anda, bu fidye yazılımına bağlı veri sızıntısı veya saldırılar sırasında herhangi bir verinin çalındığına dair herhangi bir gösterge yoktur.
Oyun fidye yazılımı iştiraklerinin son zamanlarda elde edilen kurbanları arasında Alman H-Hotels otel zinciri, Belçika'nın Antwerp şehri ve Arjantin'in Córdoba yargısı yer alıyor.
GÜNCELLEME 22 Aralık 02:07 EST: Play fidye yazılımı iştirakinin araçlarının çevrimiçi olarak paylaşıldığını ve sızdırılmadığını doğru bir şekilde söylemek için makaleyi revize etti.
Aktif olarak istismar edilen proxynotshell borsa için piyasaya sürülen istismar
Kritik VMware RCE Güvenlik Açığı için Serbest Yayım, Şimdi Yama
Bilgisayar korsanları kritik Citrix ADC ve Gateway Zero Günü'nden yararlanıyor, şimdi yama
Cisco, istismar kodu ile yüksek şiddetli IP telefonu sıfır gününü açıklar
F5, Big-IP'de iki uzaktan kod yürütme kusurunu düzeltir
Kaynak: Bleeping Computer