LetsDefend-CVE-2022-41082-Exploitation-Attempt

Rapporto dettagliato sull'incidente e analisi educativa del tentativo di sfruttamento di CVE-2022-41082 (ProxyNotShell) su Microsoft Exchange Server, inclusi metodi di rilevamento, IoC e fasi di mitigazione.

Come appare nello strumento SIEM (LetsDefend)

Cos'è CVE-2022-41082?? Scopriamo cos'è lo sfruttamento di CVE-2022-41082, perché non lo so neanche io 😄 lol

CVE-2022-41082 è una vulnerabilità critica di Remote Code Execution (RCE) che colpisce Microsoft Exchange Server. È stata scoperta a settembre 2022 e viene spesso sfruttata insieme a CVE-2022-41040, facendo parte della catena di exploit ProxyNotShell.

• Ha colpito versioni come:
• Microsoft Exchange Server 2013
• Microsoft Exchange Server 2016
• Microsoft Exchange Server 2019

⚠️ Dettagli della Vulnerabilità

La vulnerabilità CVE-2022-41082 viene attivata quando un attaccante può accedere all'endpoint PowerShell su un Exchange Server esposto.

Gli attaccanti possono elevare i privilegi ed eseguire comandi arbitrari sul server tramite PowerShell remoto.
Questa vulnerabilità viene tipicamente sfruttata tramite un URL elaborato che bypassa i controlli di autenticazione quando combinato con CVE-2022-41040 (una vulnerabilità SSRF).

🔗 Catena di Exploit (ProxyNotShell)

1. CVE-2022-41040 (SSRF): Bypassa l'autenticazione.
2. CVE-2022-41082 (RCE): Esegue comandi da remoto tramite PowerShell.

💥 Impatto

• Compromissione totale del sistema.
• Gli attaccanti possono installare malware, creare backdoor e muoversi lateralmente all'interno della rete.
• Spesso utilizzato per distribuire web shell o ransomware.

🔍 Mitigazione

• Applicare le ultime patch di Microsoft.
• Limitare l'accesso all'endpoint PowerShell e la segmentazione di rete.
• Monitorare pattern URL sospetti e l'attività PowerShell sul server.

Rilevamento (Come rileviamo questo sfruttamento)

1. Analisi dei Log:
   • Controllare i log IIS per pattern sospetti come 'C:\inetpub\logs\LogFiles\W3SVC1'
   • Cercare richieste contenenti autodiscover.json o URL PowerShell.
2. Indicatori di Compromissione (IoCs):
   • Processi insoliti in esecuzione come utente del server Exchange.
   • Esecuzioni sospette di comandi PowerShell.
   • File di web shell situati in: 'C:\Program Files\Microsoft\Exchange Server\V15\FrontEnd\HttpProxy\owa\auth\'
3. Monitoraggio della Memoria e dei Processi:
   • Identificare processi figlio inaspettati da w3wp.exe (Processo Worker IIS).
   • Cercare istanze PowerShell attivate tramite IIS.

Informazioni sul Record CVE

Riepilogo

Il 30 settembre 2022, alle 07:19 AM, è stato rilevato e bloccato un tentativo di sfruttamento mirato a Exchange Server 2. L'evento, identificato come EventID: 125, è stato attivato dalla regola SOC175 - PowerShell Trovato nell'URL Richiesto, indicando un possibile sfruttamento di CVE-2022-41082. La richiesta sospetta è stata inviata dall'IP 58.237.200.6, associato a SK Broadband Co Ltd a Daegu, Corea del Sud, ed è stata precedentemente segnalata per attacchi SSH brute force. L'attaccante ha tentato di sfruttare l'endpoint Autodiscover per eseguire comandi PowerShell da remoto.

L'attacco ha sfruttato la catena di vulnerabilità ProxyNotShell, in particolare CVE-2022-41040 (SSRF) e CVE-2022-41082 (RCE), consentendo potenzialmente agli attaccanti di eseguire comandi arbitrari tramite PowerShell remoto. La richiesta è stata identificata come dannosa a causa della presenza di URI PowerShell nell'URL e dell'uso dello zgrab user-agent, indicativo di scansioni automatizzate o tentativi di sfruttamento. L'attacco è stato bloccato con successo, prevenendo una potenziale esecuzione di codice remoto e compromissione del sistema.

Per mitigare questa minaccia, è essenziale assicurarsi che tutti i server Exchange siano aggiornati con le patch e che vengano applicate regole di riscrittura URL per bloccare pattern dannosi noti. Inoltre, l'implementazione di un monitoraggio dei log avanzato e il blocco IP per l'attore della minaccia identificato aiuterà a prevenire futuri tentativi. Si raccomanda di limitare l'accesso esterno agli endpoint Autodiscover e di disabilitare PowerShell remoto per account non amministrativi. La vigilanza e il monitoraggio continui sono cruciali per identificare e mitigare minacce simili in futuro.

Screenshoots