4月 27, 2024
記事 サイバーセキュリティ

Microsoft は、Exchange サーバーを最新の状態に維持し、予防策を講じることをユーザーに推奨しています。

Microsoft は、Exchange サーバーを最新の状態に維持し、Windows 拡張保護を有効にして、PowerShell シリアル化ペイロードの証明書ベースの署名を設定するなどの予防措置を講じることをユーザーに推奨しています。

ソフトウェア大手の Exchange チームは投稿で、パッチが適用されていない Exchange サーバーを標的にしようとする攻撃者は止まらないと述べています。パッチを適用していないオンプレミスの Exchange インフラストラクチャは、データを盗んだり、その他の不正行為を実行しようとする敵対的なアクターにとって非常に大きな価値があります。

Microsoft はまた、Microsoft がリリースした軽減策は一時的な修正にすぎず、「攻撃のすべての順列を防御するには不十分になる」可能性があることにも言及しており、ユーザーはサーバーを保護するために必要なセキュリティ アップグレードをインストールする必要があります。


Bitdefender が今週リリースしたテクニカル アドバイザリには、Exchange が「完璧な標的」であるとの説明と、2022 年 11 月下旬からの ProxyNotShell / OWASSRF エクスプロイト チェーンを使用した実際の攻撃のタイムラインが含まれていました。


Bitdefender の Martin Zugec 氏によると、Exchange には、フロントエンド サービスとバックエンド サービスの複雑なネットワークと、下位互換性のための古いコードがあります。フロントエンド [クライアント アクセス サービス] 層からの要求は、バックエンド サービスによって信頼されます。

多数のバックエンド サービスが、SYSTEM 権限を持つ Exchange Server 自体によって実行されます。これがもう 1 つの理由です。さらに、エクスプロイトはリモート PowerShell サービスへの不正アクセスを攻撃者に与える可能性があり、悪意のあるコマンドを実行するための扉を効果的に開いてしまいます。

名前のない 772x350 1 680x350<a href="/ja/httpswwwgooglecomampswwwcnetcomgoogle/" ampnewsmicrosofts office 365 is now microsoft a subscription for your lifehttpswwwgooglecomampswwwcnetcomgoogle httpswwwgooglecomampswwwcnetcomgoogle target ="blank" rel ="noopener" nofollow title ="">httpswwwgooglecomampswwwcnetcomgoogle ampnewsmicrosofts office 365 が microsoft 365 になりましたあなたの人生のためのサブスクリプションhttpswwwgooglecomampswwwcnetcomgoogle ampnewsmicrosofts office 365 が microsoft 365 になりました <a>

その目的のために、ProxyNotShell と OWASSRF の弱点を利用した攻撃は、オーストリア、クウェート、ポーランド、トルコ、および米国に拠点を置くコンサルタント、法律、製造、不動産、および卸売セクターを標的にしています。

. Web シェルや、ConnectWise Control や GoTo Resolve などのリモート監視および管理 (RMM) ツールを確立することを目的とする感染は、攻撃の大部分の集大成であると考えられています。

Web シェルを使用すると、犯罪者はさまざまな追加タスクを実行でき、永続的なリモート アクセス技術を提供するだけでなく、他のハッカー グループにアクセスを転売して利益を得ることができます。

場合によっては、ペイロードをホストするために使用されたステージング サーバーが既に Microsoft Exchange サーバーに感染していたため、攻撃の範囲を広げるために同じ手法が使用された可能性があります。
Cobalt Strike と、システム情報を取得してリバース シェルを生成できる GoBackClient というコード名の Go ベースのインプラントをダウンロードしようとする攻撃者の試みも失敗しました。

キューバ (COLDDRAW としても知られる) ランサムウェア、UNC2596 (Tropical Scorpius としても知られる) の開発者は、Microsoft Exchange の脆弱性を悪用した歴史があります。ある攻撃では、ProxyNotShell エクスプロイト シーケンスを使用して BUGHATCH ダウンローダがドロップされました。

元の感染経路は絶えず変化しており、脅威アクターはあらゆる新しいチャンスを利用しようとしていますが、Zugec 氏によると、彼らのエクスプロイト後の活動はよく知られています。多層防御アーキテクチャは、現代のサイバー攻撃に対する最善の防御です。

コメントを残す

メールアドレスが公開されることはありません。 が付いている欄は必須項目です

ja日本語