LetsDefend-CVE-2022-41082-Exploitation-Attempt

Detaillierter Vorfallbericht und pädagogische Analyse des Ausnutzungsversuchs von CVE-2022-41082 (ProxyNotShell) auf Microsoft Exchange Server, einschließlich Erkennungsmethoden, IoCs und Abhilfemaßnahmen.

Wie es im SIEM-Tool (LetsDefend) aussieht

Was ist CVE-2022-41082?? Lassen Sie uns herausfinden, was die Ausnutzung von CVE-2022-41082 ist, weil ich es auch nicht weiß 😄 lol

CVE-2022-41082 ist eine kritische Schwachstelle zur Remote-Codeausführung (RCE), die Microsoft Exchange Server betrifft. Sie wurde im September 2022 entdeckt und wird häufig zusammen mit CVE-2022-41040 ausgenutzt, wodurch die ProxyNotShell-Exploit-Kette entsteht.

• Es betraf Versionen wie:
• Microsoft Exchange Server 2013
• Microsoft Exchange Server 2016
• Microsoft Exchange Server 2019

⚠️ Schwachstellendetails

Die CVE-2022-41082-Schwachstelle wird ausgelöst, wenn ein Angreifer auf den PowerShell-Endpunkt eines exponierten Exchange-Servers zugreifen kann.

Angreifer können Privilegien erweitern und beliebige Befehle auf dem Server über PowerShell-Remoting ausführen.
Diese Schwachstelle wird typischerweise über eine manipulierte URL ausgenutzt, die Authentifizierungsprüfungen umgeht, wenn sie mit CVE-2022-41040 (einer SSRF-Schwachstelle) kombiniert wird.

🔗 Exploit-Kette (ProxyNotShell)

1. CVE-2022-41040 (SSRF): Umgeht die Authentifizierung.
2. CVE-2022-41082 (RCE): Führt Befehle über PowerShell remote aus.

💥 Auswirkungen

• Vollständige Systemkompromittierung.
• Angreifer können Malware installieren, Hintertüren einrichten und sich lateral innerhalb des Netzwerks bewegen.
• Wird oft zur Bereitstellung von Web-Shells oder Ransomware verwendet.

🔍 Abhilfe

• Wenden Sie die neuesten Patches von Microsoft an.
• Beschränken Sie den Zugriff auf den PowerShell-Endpunkt und setzen Sie Netzwerksegmentierung ein.
• Überwachen Sie verdächtige URL-Muster und PowerShell-Aktivitäten auf dem Server.

Erkennung (Wie wir diese Ausnutzung erkennen)

1. Log-Analyse:
   • Überprüfen Sie IIS-Protokolle auf verdächtige Muster wie 'C:\inetpub\logs\LogFiles\W3SVC1'
   • Suchen Sie nach Anfragen, die autodiscover.json oder PowerShell-URLs enthalten.
2. Indikatoren für eine Kompromittierung (IoCs):
   • Ungewöhnliche Prozesse, die als Exchange-Server-Benutzer ausgeführt werden.
   • Verdächtige PowerShell-Befehlsausführungen.
   • Web-Shell-Dateien in: 'C:\Program Files\Microsoft\Exchange Server\V15\FrontEnd\HttpProxy\owa\auth\'
3. Speicher- und Prozessüberwachung:
   • Identifizieren Sie unerwartete untergeordnete Prozesse von w3wp.exe (IIS-Arbeitsprozess).
   • Suchen Sie nach PowerShell-Instanzen, die über IIS ausgelöst werden.

CVE-Informationen

Zusammenfassung

Am 30. September 2022 um 07:19 Uhr wurde ein Ausnutzungsversuch gegen Exchange Server 2 erkannt und blockiert. Das Ereignis mit der Ereignis-ID: 125 wurde durch die Regel SOC175 - PowerShell in angeforderter URL gefunden ausgelöst, was auf eine mögliche Ausnutzung von CVE-2022-41082 hinweist. Die verdächtige Anfrage wurde von der IP 58.237.200.6 gesendet, die mit SK Broadband Co Ltd in Daegu, Südkorea verbunden ist und zuvor für Brute-Force-SSH-Angriffe gemeldet wurde. Der Angreifer versuchte, den Autodiscover-Endpunkt auszunutzen, um PowerShell-Befehle remote auszuführen.

Der Angriff nutzte die ProxyNotShell-Schwachstellenkette, insbesondere CVE-2022-41040 (SSRF) und CVE-2022-41082 (RCE), die es Angreifern ermöglicht, potenziell beliebige Befehle über PowerShell-Remoting auszuführen. Die Anfrage wurde aufgrund des Vorhandenseins von PowerShell-URIs in der URL und der Verwendung des zgrab-User-Agents als bösartig eingestuft, was auf automatisierte Scan- oder Ausnutzungsversuche hindeutet. Der Angriff wurde erfolgreich blockiert, wodurch eine potenzielle Remote-Codeausführung und Systemkompromittierung verhindert wurde.

Um diese Bedrohung zu entschärfen, ist es wichtig, sicherzustellen, dass alle Exchange-Server gepatcht sind und URL-Umschreibungsregeln angewendet werden, um bekannte bösartige Muster zu blockieren. Darüber hinaus wird empfohlen, eine verbesserte Protokollüberwachung und IP-Blockierung für den identifizierten Bedrohungsakteur zu implementieren, um zukünftige Versuche zu verhindern. Die Einschränkung des externen Zugriffs auf Autodiscover-Endpunkte und die Deaktivierung von Remote-PowerShell für nicht-administrative Konten werden empfohlen. Kontinuierliche Wachsamkeit und Überwachung sind entscheidend, um ähnliche Bedrohungen in der Zukunft zu erkennen und zu entschärfen.

Screenshots