Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for ProxyLogon

ProxyLogon

Lebih Dari 60.000 Server Exchange Rentan Terhadap Serangan ProxyNotShell

by

Lebih dari 60.000 server Microsoft Exchange yang terpapar secara online belum ditambal terhadap kerentanan eksekusi kode remote (RCE) CVE-2022-41082, salah satu dari dua kelemahan keamanan yang ditargetkan oleh eksploitasi ProxyNotShell.

Menurut sebuah organisasi nirlaba yang didedikasikan untuk meningkatkan keamanan internet, Shadowserver Foundation, hampir 70.000 server Microsoft Exchange rentan terhadap serangan ProxyNotShell menurut informasi versi (header x_owa_version server).

Namun, data terbaru menunjukkan penurunan jumlah server Exchange yang rentan dari 83.946 pada pertengahan Desember menjadi 60.865 pada tanggal 2 Januari.

Exchange server rentan terhadap serangan ProxyNotShell (Shadowserver Foundation)

Kedua bug keamanan tersebut dilacak sebagai CVE-2022-41082 dan CVE-2022-41040 dan secara kolektif dikenal sebagai ProxyNotShell, memengaruhi Exchange Server 2013, 2016, dan 2019.

Jika berhasil dieksploitasi, penyerang dapat meningkatkan hak istimewa dan mendapatkan eksekusi kode arbitrer atau jarak jauh pada server yang disusupi.

Perusahaan Intelijen Ancaman, GreyNoise, telah melacak eksploitasi ProxyNotShell dan memberikan informasi tentang aktivitas pemindaian ProxyNotShell dan daftar alamat IP yang terkait dengan serangan tersebut.

Peta server Exchange belum ditambal terhadap ProxyNotShell (Shadowserver Foundation)

Melindungi server Exchange dari serangan masuk adalah dengan menerapkan tambalan ProxyNotShell yang dirilis oleh Microsoft pada bulan November.

Aktor ancaman ransomware Play saat ini menggunakan rantai eksploit baru untuk mem-bypass mitigasi penulisan ulang URL ProxyNotShell dan mendapatkan eksekusi kode jarak jauh pada server yang rentan melalui Outlook Web Access (OWA).

Perusahaan intelijen ancaman, Prodaft, memindai dan mengeksploitasi berbagai eksekusi kode jarak jauh Microsoft Exchange dan kerentanan elevasi hak istimewa, seperti CVE-2021-34473, CVE-2021-34523, dan CVE-2021-31207.

Selengkapnya: BleepingComputer

Impacket and Exfiltration Tool Used to Steal Sensitive Information from Defense Industrial Base Organization

by

The U.S. Government released an alert about state-backed hackers using a custom CovalentStealer malware and the Impacket framework to steal sensitive data from a U.S. organization in the Defense Industrial Base (DIB) sector.

The compromise lasted for about ten months and it is likely that multiple advanced persistent threat (APT) groups likely compromised the organization, some of them gaining initial access through the victim’s Microsoft Exchange Server in January last year.

Entities in the Defense Industrial Base Sector provide products and services that enable support and deployment of military operations.

They are engaged in the research, development, design, production, delivery, and maintenance of military weapons systems, including all necessary components and parts.

A joint report from the Cybersecurity and Infrastructure Agency (CISA), the Federal Bureau of Investigation (FBI), and the National Security Agency (NSA) provides technical details collected during incident response activity that lasted between November 2021 and January 2022.

The hackers combined custom malware called CovalentStealer, the open-source Impacket collection of Python classes, the HyperBro remote access trojan (RAT), and well over a dozen ChinaChopper webshell samples.

They also exploited the ProxyLogon collection of four vulnerabilities for Exchange Server around the time Microsoft released an emergency security update to fix them.

At the time, Microsoft had detected the ProxyLogon exploit chain when the vulnerabilities were zero days (unknown to the vendor), in attacks attributed to a Chinese state-sponsored hacking group they call Hafnium.

  • CVE-2021-26855 is a server-side request forgery (SSRF) vulnerability in Exchange that allows sending arbitrary HTTP requests and authenticating as the Exchange server
  • CVE-2021-26857 is an insecure deserialization vulnerability in the Unified Messaging service. Hafnium used it to run code as SYSTEM on the Exchange server
  • CVE-2021-26858 is a post-authentication arbitrary file write vulnerability in Exchange. It could be exploited after compromising a legitimate admin’s credentials.
  • CVE-2021-27065 is a post-authentication arbitrary file write vulnerability in Exchange

While the initial access vector is unknown, the current advisory notes that the hackers gained access to the organization’s Exchange Server in mid-January 2021.

Within four hours, the threat actor started mailbox searches and used a compromised administrator account belonging to a former employee to access the Exchange Web Services (EWS) API, which is used for sending and receiving web service messages from client applications.

Less than a month later, in early February 2021, the attackers accessed the network again using the same admin credentials through a virtual private network (VPN) connection.

After four days, the hackers engaged in reconnaissance activity using command shell. They learned about the victim’s environment and manually archived (WinRAR) sensitive data, e.g. contract-related information stored on shared drives, preparing it for exfiltration.

At the beginning of March, the hackers exploited the ProxyLogon vulnerabilities to install no less than 17 China Chopper webshells on the Exchange Server.

China Chopper carries powerful capabilities in a very small package (just 4 kilobytes). It was initially used by Chinese threat actors but it became so popular that other groups adopted it.

Activity to establish persistence on the network and to move laterally started in April 2021 and was possible Impacket, which allows working with network protocols.

CISA says that the attacker used Impacket with the compromised credentials to obtain a service account with higher privileges, which enabled remote access from multiple external IP addresses to the organization’s Exchange server through Outlook Web Access (OWA).

Accessing the remote Exchange Server was done through services from two VPN and virtual private server providers, M247 and SurfShark, a common tactic to hide the interaction with the victim network.

Burrowed deeply in the victim network, the hackers relied on the custom-built CovalentStealer to upload additional sensitive files to a Microsoft OneDrive location between late July and mid-October 2022.

In a separate report, CISA provides technical analysis for CovalentStealer noting that the malware relies on code from two publicly available utilities, ClientUploader and the PowerShell script Export-MFT, to upload compressed files and to extract the Master File Table (MFT) of a local storage volume.

CovalentStealer also contains resources for encrypting and decrypting the uploaded data, and configuration files, and to secure communications.

CISA shares technical details for the HyperBro RAT in distinct report, saying that the capabilities of the malware include uploading and downloading files to and from the system, logging keystrokes, executing commands on the infected host, and bypassing User Account Control protection to run with full admin privileges.

A set of recommendations are available in the joint report for detecting persistent, long-term access threat activity, one of them being to monitor logs for connections from unusual VPSs and VPNs.

Defenders should also examine connections from unexpected ranges and, for this particular attacker, check for machines hosted by SurfShark and M247.

Monitoring for suspicious account use, such as inappropriate or unauthorized use of administrator accounts, service accounts, or third-party accounts, is also on the list.

The use of compromised credentials with a VPS may also indicate a potential breach that could be uncovered by:

  • Reviewing logs for “impossible logins,” e.g. logins with changing username, user agent strings, and IP address combinations or logins where IP addresses do not align to the expected user’s geographic location
  • Searching for “impossible travel,” which occurs when a user logs in from multiple IP addresses that are a significant geographic distance apart. False positives can result from this when legitimate users connect through a VPN
  • Searching for one IP used across multiple accounts, excluding expected logins (successful remote logins from M247 and SurfShark IPs may be a red flag)
  • Identifying suspicious privileged account use after resetting passwords or applying user account mitigations
    Searching for unusual activity in typically dormant accounts
  • Searching for unusual user agent strings, such as strings not typically associated with normal user activity, which may indicate bot activity

    • Source: CISA

    Backdoor ‘SessionManager’ Baru Menargetkan Server Microsoft IIS di Alam Liar

    by

    Malware yang baru ditemukan telah digunakan di alam liar setidaknya sejak Maret 2021 ke server Microsoft Exchange pintu belakang milik berbagai entitas di seluruh dunia, dengan infeksi yang masih ada di 20 organisasi pada Juni 2022.

    Dijuluki SessionManager, alat jahat menyamar sebagai modul untuk Layanan Informasi Internet (IIS), perangkat lunak server web untuk sistem Windows, setelah mengeksploitasi salah satu kelemahan ProxyLogon dalam server Exchange.

    Target termasuk 24 LSM, pemerintah, militer, dan organisasi industri yang berbeda yang mencakup Afrika, Amerika Selatan, Asia, Eropa, Rusia, dan Timur Tengah. Total 34 server telah disusupi oleh varian SessionManager hingga saat ini.

    Ini jauh dari pertama kalinya teknik ini diamati dalam serangan dunia nyata. Penggunaan modul IIS nakal sebagai sarana untuk mendistribusikan implan tersembunyi memiliki gema dalam pencuri kredensial Outlook yang disebut Owowa yang terungkap pada Desember 2021.

    “Menjatuhkan modul IIS sebagai pintu belakang memungkinkan pelaku ancaman untuk mempertahankan akses yang persisten, tahan pembaruan, dan relatif tersembunyi ke infrastruktur TI dari organisasi yang ditargetkan; baik itu untuk mengumpulkan email, memperbarui akses jahat lebih lanjut, atau secara sembunyi-sembunyi mengelola server yang disusupi yang dapat dimanfaatkan sebagai infrastruktur berbahaya,” kata peneliti Kaspersky, Pierre Delcher.

    ProxyLogon, sejak pengungkapannya pada Maret 2021, telah menarik perhatian berulang kali dari beberapa pelaku ancaman dengan kru Gelsemium mengeksploitasi kelemahan untuk menjatuhkan SessionManager, sebuah pintu belakang yang dikodekan dalam C++ dan direkayasa untuk memproses HTTP permintaan dikirim ke server.

    “Modul jahat seperti itu biasanya mengharapkan permintaan HTTP yang tampaknya sah tetapi dibuat secara khusus dari operator mereka, memicu tindakan berdasarkan instruksi tersembunyi operator jika ada, kemudian secara transparan meneruskan permintaan ke server untuk diproses seperti permintaan lainnya,” Delcher dijelaskan.

    Dikatakan sebagai “pintu belakang akses awal persisten yang ringan,” SessionManager hadir dengan kemampuan untuk membaca, menulis, dan menghapus file arbitrer; mengeksekusi binari dari server; dan membangun komunikasi dengan titik akhir lain dalam jaringan.

    Malware ini selanjutnya bertindak sebagai saluran rahasia untuk melakukan pengintaian, mengumpulkan kata sandi dalam memori, dan mengirimkan alat tambahan seperti Mimikatz serta utilitas dump memori dari Avast.

    Temuan ini muncul saat Badan Keamanan Siber dan Infrastruktur AS (CISA) mendesak lembaga pemerintah dan entitas sektor swasta yang menggunakan platform Exchange untuk beralih dari metode Otentikasi Dasar lama ke alternatif Otentikasi Modern sebelum dihentikan pada 1 Oktober 2022.

    Sumber: The Hacker News

    Server Microsoft Exchange diretas dalam serangan rantai balasan internal

    by

    Pelaku ancaman meretas server Microsoft Exchange menggunakan ProxyShell dan eksploitasi ProxyLogon untuk mendistribusikan malware dan melewati deteksi menggunakan email rantai balasan internal yang dicuri.

    Peneliti TrendMicro telah menemukan taktik menarik yang digunakan untuk mendistribusikan email berbahaya ke pengguna internal perusahaan menggunakan server pertukaran Microsoft milik korban.

    Pelaku di balik serangan ini diyakini sebagai ‘TR’, aktor ancaman terkenal yang mendistribusikan email dengan lampiran berbahaya yang menjatuhkan malware, termasuk Qbot, IcedID, Cobalt Strike, dan muatan SquirrelWaffle.

    Aktor tersebut mengelabui target perusahaan agar membuka lampiran berbahaya, mengeksploitasi server Microsoft Exchange menggunakan kerentanan ProxyShell dan ProxyLogon.

    Pelaku ancaman kemudian menggunakan server Exchange yang disusupi ini untuk membalas email internal perusahaan dalam serangan berantai balasan yang berisi tautan ke dokumen berbahaya yang menginstal berbagai malware.

    Salah satu email Squirrelwaffle ke target
    Sumber: TrendMicro

    Karena email ini berasal dari jaringan internal yang sama dan tampaknya merupakan kelanjutan dari diskusi sebelumnya antara dua karyawan, ini mengarah pada tingkat kepercayaan yang lebih besar bahwa email tersebut sah dan aman.

    Dokumen Microsoft Excel berbahaya yang digunakan oleh SquirrelWaffle

    Menurut laporan Trend Micro, para peneliti mengatakan bahwa mereka telah melihat serangan ini mendistribusikan pemuat SquirrelWaffle, yang kemudian menginstal Qbot.

    Namun, peneliti Cryptolaemus ‘TheAnalyst’ mengatakan bahwa dokumen berbahaya yang digunakan oleh aktor ancaman ini menjatuhkan kedua malware sebagai muatan terpisah, bukan SquirrelWaffle yang mendistribusikan Qbot.

    Microsoft telah memperbaiki kerentanan ProxyLogon pada bulan Maret dan kerentanan ProxyShell pada bulan April dan Mei, menanganinya sebagai zero-day pada saat itu.

    Pelaku ancaman telah menyalahgunakan kedua kerentanan untuk menyebarkan ransomware atau menginstal webshell untuk akses pintu belakang nanti. Serangan ProxyLogon menjadi sangat buruk sehingga FBI menghapus web shell dari server Microsoft Exchange yang berbasis di AS tanpa terlebih dahulu memberi tahu pemilik server.

    Setelah sekian lama dan media luas kerentanan ini telah diterima, tidak menambal Exchange Server hanyalah undangan terbuka untuk peretas.

    Sumber : Bleeping Computer

    FamousSparrow APT Memata-matai Hotel, Pemerintah

    by

    Sebuah kelompok mata-mata siber yang dijuluki “FamousSparrow” oleh para peneliti telah meluncur, menargetkan hotel, pemerintah, dan organisasi swasta di seluruh dunia dengan backdoor khusus yang disebut, “SparrowDoor.” Ini adalah salah satu ancaman persisten tingkat lanjut (APT) yang menargetkan kerentanan ProxyLogon awal tahun ini, menurut ESET, meskipun aktivitasnya baru-baru ini terungkap.

    Menurut perusahaan, backdoor memiliki kemampuan untuk: mengganti nama atau menghapus file; membuat direktori; mematikan proses; mengirim informasi seperti atribut file, ukuran file, dan waktu penulisan file; mengekstrak konten file tertentu; menulis data ke file tertentu; atau membuat reverse shell interaktif. Ada juga tombol pemutus untuk menghapus pengaturan persistensi dan semua file SparrowDoor dari mesin korban.

    “Penargetan, yang mencakup pemerintah di seluruh dunia, menunjukkan bahwa niat FamousSparrow adalah spionase,” catat para peneliti.

    Bug eksekusi kode jarak jauh (RCE) ProxyLogon diungkapkan pada bulan Maret, dan digunakan oleh lebih dari 10 grup APT untuk membuat akses melalui kode shell ke server email Exchange di seluruh dunia dalam serangkaian serangan.

    Dalam kasus FamousSparrow, ia menggunakan bug untuk menyebarkan SparrowDoor, yang telah terlihat dalam serangan lain (banyak di antaranya terhadap hotel), menurut ESET. Kampanye tambahan ini telah terjadi sebelum dan sesudah ProxyLogon, dan dimulai pada Agustus 2019, catat para peneliti.

    Ketika mereka dapat menentukan vektor kompromi awal, para peneliti menemukan bahwa modus operandi FamousSparrow tampaknya merupakan eksploitasi aplikasi web yang rentan terhadap internet.

    FamousSparrow terutama menargetkan hotel, tetapi ESET mengamati target di sektor lain, termasuk pemerintahan, organisasi internasional, perusahaan teknik, dan firma hukum.

    Selengkapnya: The Threat Post

    Serangan Microsoft Exchange meningkat sementara WannaCry memulai kembali infeksinya

    by

    Kerentanan yang baru-baru ini ditambal di Microsoft Exchange telah memicu minat baru di antara penjahat siber, yang meningkatkan volume serangan yang berfokus pada vektor khusus ini.

    Meskipun frekuensi serangan ransomware meningkat dalam enam bulan terakhir, perusahaan keamanan siber Check Point minggu lalu melihat lonjakan insiden yang menargetkan server Microsoft Exchange yang rentan terhadap apa yang disebut dengan bug kritis ProxyLogon.

    Bahkan dengan patch yang bergerak dengan kecepatan tinggi, perusahaan melihat percobaan serangan tiga kali lipat di seluruh dunia, terhitung puluhan ribu.

    Menurut Microsoft, ada sekitar 82.000 server Exchange yang rentan pada 14 Maret. Sekitar seminggu kemudian, jumlah tersebut turun drastis menjadi sekitar 30.000 mesin yang terpapar, sesuai data dari RiskIQ.

    Data telemetri dari Check Point pekan lalu menunjukkan lebih dari 50.000 upaya serangan secara global, kebanyakan ditujukan pada organisasi di pemerintahan/militer, manufaktur, dan sektor perbankan/keuangan.

    Perusahaan melihat peningkatan 57% dalam serangan ransomware selama enam bulan terakhir di tingkat global. Yang lebih mengkhawatirkan adalah kenaikan bulanan yang konstan sebesar 9% sejak awal tahun.

    Selain strain ransomware normal yang diamati (Maze, Ryuk, REvil), perusahaan mencatat peningkatan 53% dalam jumlah organisasi yang terpengaruh oleh ransomware wormable WannaCry.

    Alasan di balik tingginya angka tersebut adalah WannaCry yang menjadi wormable (serangan yang dapat menyebar dari satu mesin ke mesin lainnya tanpa interaksi manusia) dan ribuan sistem masih rentan terhadap EternalBlue yang dapat dijangkau melalui internet publik.

    Sumber: Bleeping Computer

    Server Microsoft Exchange sekarang ditargetkan oleh ransomware Black Kingdom

    by

    Operasi ransomware lain yang dikenal sebagai ‘Black Kingdom’ mengeksploitasi kerentanan Microsoft Exchange Server ProxyLogon untuk mengenkripsi server.

    Selama akhir pekan, peneliti keamanan Marcus Hutchins, alias MalwareTechBlog, men-tweet bahwa pelaku ancaman membahayakan server Microsoft Exchange melalui kerentanan ProxyLogon untuk menyebarkan ransomware.

    Berdasarkan log dari honeypots-nya, Hutchins menyatakan bahwa pelaku ancaman menggunakan kerentanan untuk menjalankan skrip PowerShell yang mengunduh ransomware yang dapat dieksekusi dari ‘yuuuuu44[.]Com’ dan kemudian mendorongnya ke komputer lain di jaringan.

    Michael Gillespie, pencipta ID Ransomware, memberi tahu BleepingComputer bahwa sistemnya telah melihat lebih dari 30 pengiriman unik ke sistemnya, dengan banyak yang dikirim langsung dari server email.

    Korban berada di AS, Kanada, Austria, Swiss, Rusia, Prancis, Israel, Inggris, Italia, Jerman, Yunani, Australia, dan Kroasia.

    Saat mengenkripsi perangkat, ransomware akan mengenkripsi file menggunakan ekstensi acak dan kemudian membuat catatan tebusan bernama decrypt_file.TxT, seperti yang ditunjukkan di bawah ini.

    blackkingdom ransomware
    Sumber: BleepingComputer

    Black Kingdom adalah ransomware terkonfirmasi kedua setelah DearCry ransomware yang menargetkan kerentanan Microsoft Exchange ProxyLogon.

    Sumber: Bleeping Computer

    PoC baru untuk bug Microsoft Exchange membuat serangan dapat menjangkau siapa pun

    by

    Awal pekan ini, seorang peneliti keamanan bernama Nguyen Jang menerbitkan entri blog yang merinci eksploitasi bukti konsep (POC) untuk kerentanan Microsoft Exchange ProxyLogon. Jang juga membagikan eksploitasi yang sengaja rusak di GitHub yang memerlukan beberapa perbaikan agar berfungsi dengan benar.

    Namun, PoC memberikan informasi yang cukup sehingga peneliti keamanan dan pelaku ancaman dapat menggunakannya untuk mengembangkan eksploitasi eksekusi kode jarak jauh fungsional untuk server Microsoft Exchange.

    Segera setelah PoC diterbitkan, Jang menerima email dari GitHub milik Microsoft yang menyatakan bahwa PoC telah dihapus karena melanggar Kebijakan Penggunaan yang Dapat Diterima.

    Akhir pekan ini, seorang peneliti keamanan yang berbeda menerbitkan ProxyLogon PoC baru yang memerlukan sedikit modifikasi untuk mengeksploitasi server Microsoft Exchange yang rentan dan meletakkan shell web di atasnya.

    Will Dorman, Analis Kerentanan di CERT / CC, menguji kerentanan pada server Microsoft Exchange dan memberi tahu BleepingComputer bahwa itu bekerja dengan sedikit modifikasi.

    “Sekarang sudah dalam jangkauan ‘script kiddie'”, Dorman memperingatkan dalam diskusi mengenai PoC.

    Dengan eksploitasi untuk kerentanan Microsoft Exchange yang tersedia untuk umum, semakin penting bagi administrator untuk menambal server mereka sesegera mungkin.

    Selengkapnya: Bleeping Computer