cert-lv/exchange_webshell_detectionRileva webshell lasciati sui server Microsoft Exchange sfruttati attraverso il gruppo di vulnerabilità "proxylogon" (CVE-2021-26855, CVE-2021-26857, CVE-2021-26858, CVE-2021-27065)
Utilizza invece gli strumenti Microsoft:
Nel valutare l'impatto, suggeriamo vivamente di presumere una compromissione e di esaminare preventivamente tutti i server MS Exchange esposti pubblicamente da gennaio, anche se non ci sono segni di compromissione attiva.
Nota che l'esfiltrazione di dati e le modifiche alla configurazione erano possibili (e stavano accadendo) solo attraverso la parte SSRF della catena di exploit (cioè senza ottenere l'esecuzione di codice, rilasciare file o generare nuovi processi sull'host Exchange).
Questo è un falso positivo, i prodotti antivirus reagiscono alle parole chiave elencate nello script. detect_webshells.ps1 è scritto intenzionalmente come file standalone usando PowerShell molto semplice, in modo che tu possa ispezionarlo da solo. Le parole chiave che (giustamente) attivano l'antivirus sono elencate alla riga 94. Se non ti senti sicuro di capire cosa fa lo script, non eseguirlo!
Speriamo che il fatto che il software antivirus abbia iniziato a rilevare questo script significhi che è in grado di rilevare anche vere webshell, rendendo detect_webshells.ps1 non necessario. Controlla però che le directory di Exchange e inetpub non siano nella whitelist e ricorda che le webshell sono state utilizzate solo per l'accesso iniziale. Una volta ottenuta l'esecuzione di codice, gli aggressori solitamente hanno implementato ulteriori meccanismi di persistenza - a volte rimuovendo persino la webshell iniziale per nascondere le loro tracce.
Quindi non scambiare l'assenza di webshell per assenza di compromissione - sfortunatamente il tuo server potrebbe comunque essere stato hackerato e gli aggressori hanno rimosso la webshell da soli o un antivirus lo ha fatto (senza eliminare completamente gli aggressori dal tuo server).
Questo script cerca webshell rilasciate sui server Microsoft Exchange mentre erano vulnerabili ai seguenti CVE:
L'attività iniziale durante gennaio 2021 è stata attribuita a HAFNIUM, ma da allora altri attori delle minacce hanno ottenuto questi exploit e hanno iniziato a usarli. Prima della divulgazione pubblica e del rilascio delle patch da parte di Microsoft (dal 27 febbraio circa), i server Exchange esposti pubblicamente hanno iniziato a essere sfruttati indiscriminatamente. Pertanto, installare gli ultimi aggiornamenti di Exchange subito dopo la pubblicazione da parte di Microsoft non ha mitigato completamente il rischio di una precedente compromissione, quindi tutti i server Exchange dovrebbero essere ispezionati per segni di accesso non autorizzato.
detect_webshells.ps1 verificherà la presenza di webshell conosciute in posizioni tipiche:
inetpub/wwwroot/aspnet_client/: posizione a livello di sistema, il luogo più comune di webshell rilasciate negli attuali attacchi; normalmente non contiene alcun file, quindi la presenza di qualsiasi cosa è sospetta$($env:exchangeinstallpath)/Frontend/: utilizzata da aggressori più sofisticati per mimetizzarsi con i file legittimi di Exchange (le webshell possono essere aggiunte come nuovi file o modificando quelli esistenti, incluso web.config); le posizioni più comuni sono /owa/ e /ecp/, ma le webshell possono essere rilasciate ovunque nella directory Frontenddetect_webshells.ps1 cerca solo webshell e non tenta di rilevare direttamente eventi di sfruttamento passati (usa https://github.com/microsoft/CSS-Exchange/tree/main/Security e altri script menzionati sotto per questo), né cerca attori delle minacce particolarmente furtivi (che potrebbero eliminare le webshell dopo l'uso o evitarle del tutto). Pertanto, un risultato negativo può solo significare assenza di prove di compromissione su questo particolare host. Non garantisce che l'host non sia stato sfruttato con altri mezzi.
Analisi/divulgazioni (incl. IoC):
Script di rilevamento notevoli: