من المحتمل أن القراصنة الذين ترعاهم الدولة استغلوا MS Exchange 0 أيام ضد ~ 10 منظمات

[HalhulTech]

كشفت شركة Microsoft يوم الجمعة أن مجموعة نشاط واحدة في أغسطس 2022 حققت وصولًا أوليًا وخرقت خوادم Exchange من خلال تسلسل عيوب يوم الصفر التي تم الكشف عنها مؤخرًا في مجموعة محدودة من الهجمات التي تستهدف أقل من 10 مؤسسات على مستوى العالم.

وقال مركز مايكروسوفت للتهديدات الاستخباراتية (MSTIC) في تقرير يوم الجمعة : "هذه الهجمات قامت بتثبيت غلاف ويب تشوبر لتسهيل الوصول اليدوي على لوحة المفاتيح ، والذي استخدمه المهاجمون لأداء استطلاع Active Directory واستخراج البيانات".

ومن المتوقع أن يتزايد تسليح الثغرات الأمنية في الأيام المقبلة ، كما حذرت Microsoft ، حيث يقوم الفاعلون الخبثاء باستغلال الثغرات في مجموعات أدواتهم ، بما في ذلك نشر برامج الفدية ، بسبب "أنظمة تبادل الوصول ذات الامتيازات العالية التي تمنح للمهاجم".

عزت شركة التكنولوجيا العملاقة الهجمات المستمرة بثقة متوسطة إلى منظمة ترعاها الدولة ، مضيفة أنها كانت تحقق بالفعل في هذه الهجمات عندما كشفت مبادرة Zero Day عن العيوب إلى مركز الاستجابة الأمنية من Microsoft (MSRC) في وقت سابق من هذا الشهر في 8-9 سبتمبر 2022. .

أُطلق على الثغرات الأمنية بشكل جماعي اسم ProxyNotShell ، نظرًا لحقيقة أنه "هو نفس المسار وزوج SSRF / RCE" مثل ProxyShell ولكن مع المصادقة ، مما يشير إلى تصحيح غير مكتمل.​

يتم سرد المشكلات ، التي تم تجميعها معًا لتحقيق تنفيذ التعليمات البرمجية عن بُعد ، أدناه -

• CVE-2022-41040 - ثغرة أمنية في التزوير في طلب خادم Microsoft Exchange Server
• CVE-2022-41082 - ثغرة أمنية في تنفيذ التعليمات البرمجية عن بُعد لـ Microsoft Exchange Server

وقالت مايكروسوفت: "بينما تتطلب هذه الثغرات الأمنية المصادقة ، فإن المصادقة المطلوبة للاستغلال يمكن أن تكون مصادقة مستخدم قياسي". "يمكن الحصول على بيانات اعتماد المستخدم القياسية عبر العديد من الهجمات المختلفة ، مثل رش كلمة المرور أو الشراء عبر اقتصاد مجرمي الإنترنت."

تم اكتشاف الثغرات الأمنية لأول مرة من قبل شركة الأمن السيبراني الفيتنامية GTSC كجزء من جهود الاستجابة للحوادث لعميل في أغسطس 2022. يُشتبه في وجود عامل تهديد صيني وراء عمليات الاختراق.

يأتي هذا التطوير في الوقت الذي أضافت فيه وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) ثغرات يوم الصفر الخاصة بـ Microsoft Exchange Server إلى كتالوج الثغرات الأمنية المستغلة المعروفة (KEV) ، مما يتطلب من الوكالات الفيدرالية تطبيق التصحيحات بحلول 21 أكتوبر 2022.​

وقالت مايكروسوفت إنها تعمل على "جدول زمني سريع" لإصدار إصلاح لأوجه القصور. كما نشرت أيضًا نصًا لخطوات تخفيف إعادة كتابة عنوان URL التالية التي قالت إنها "ناجحة في كسر سلاسل الهجوم الحالية" -

• افتح مدير IIS
• حدد موقع ويب الافتراضي
• في عرض الميزة ، انقر فوق إعادة كتابة عنوان URL
• في جزء الإجراءات على الجانب الأيمن ، انقر فوق إضافة قاعدة (قواعد) ...
• حدد طلب الحظر وانقر فوق موافق
• أضف السلسلة ". * autodiscover \ .json. * \ @. * Powershell. *" (باستثناء علامات الاقتباس)
• حدد التعبير العادي ضمن استخدام
• حدد إحباط الطلب ضمن كيفية الحظر ثم انقر فوق موافق
• قم بتوسيع القاعدة وحدد القاعدة بالنمط. * autodiscover \ .json. * \ @. * Powershell. * وانقر فوق تحرير ضمن الشروط.
• تغيير إدخال الشرط من {URL} إلى {REQUEST_URI}

كإجراءات وقائية إضافية ، تحث الشركة الشركات على فرض المصادقة متعددة العوامل (MFA) ، وتعطيل المصادقة القديمة ، وتثقيف المستخدمين حول عدم قبول مطالبات المصادقة الثنائية (2FA) غير المتوقعة.

قال ترافيس سميث ، نائب رئيس أبحاث تهديد البرمجيات الخبيثة في Qualys ، لصحيفة The Hacker News: "يعد Microsoft Exchange هدفًا مثيرًا للجهات الفاعلة في مجال التهديد لاستغلاله لسببين رئيسيين".

"أولاً ، يؤدي اتصال Exchange [...] مباشرة بالإنترنت إلى إنشاء سطح هجوم يمكن الوصول إليه من أي مكان في العالم ، مما يزيد بشكل كبير من خطر التعرض لهجوم. ثانيًا ، يعد Exchange وظيفة مهمة - لا تستطيع المؤسسات فقط افصل أو أوقف تشغيل البريد الإلكتروني دون التأثير بشدة على أعمالهم بطريقة سلبية. "


المصدر: thehackernews​