CVE-2022-41080

설명

CrowdStrike는 최근 OWASSRF라고 불리는 새로운 익스플로잇 방법을 발견했습니다. 이 방법은 CVE-2022-41080과 CVE-2022-41082를 결합하여 Outlook Web Access(OWA)를 통해 원격 코드 실행(RCE)을 달성합니다. 이 새로운 익스플로잇 방법은 ProxyNotShell에 대응하여 Microsoft가 제공한 Autodiscover 엔드포인트에 대한 URL 재작성 완화 조치를 우회합니다.
이번 발견은 최근 CrowdStrike Services가 여러 Play 랜섬웨어 침해 사고를 조사하는 과정에서 이루어졌으며, 공통 진입 경로는 Microsoft Exchange로 확인되었습니다.
이 새로운 익스플로잇 방법을 통한 초기 접근 후, 위협 행위자는 합법적인 Plink 및 AnyDesk 실행 파일을 사용하여 접근을 유지하고, Microsoft Exchange 서버에서 자신의 활동을 숨기기 위한 안티포렌식 기술을 수행했습니다.