在利用最近披露的ProxyShell漏洞入侵Microsoft Exchange服務器后，一個名為LockFile的新的勒索軟件團伙對Windows域進行加密。
ProxyShell是由三個連鎖Microsoft Exchange漏洞組成攻擊的名稱，這些漏洞導致未經身份驗證的遠程代碼執行。
Devcore首席安全研究員Orange Tsai在今年4月份Pwn2Own 2021黑客大賽中發現它們，將它們鏈接在一起以接管Microsoft Exchange 服務器 。
CVE-2021-34473 - 預身份驗證路徑混淆導致ACL繞過(KB5001779于4月修補)
CVE-2021-34523 - Exchange PowerShell后端的特權提升(KB5001779于4月修補)
CVE-2021-31207 - 授權后任意文件寫入導致 RCE(KB5003435于5月修補)
雖然微軟在2021年5月完全修補了這些漏洞，但最近披露了更多的技術細節，允許安全研究人員和威脅參與者復制該漏洞。
據BleepingComputer上周報道，這導致攻擊者積極使用ProxyShell漏洞掃描并攻擊微軟Exchange服務器。在利用Exchange服務器后，攻擊者投放了可用于上傳其他程序并執行它們的web shell。
NCC Group的漏洞研究員 Rich Warren稱，Web shell被用于安裝 .NET 后門，該后門下載了無害的有效負載。
此后，一種名為LockFile的新勒索軟件操作使用Microsoft Exchange ProxyShell和 Windows PetitPotam漏洞來接管Windows域并加密設備。
在破壞網絡時，攻擊者將首先使用ProxyShell漏洞訪問內部部署的Microsoft Exchange服務器。賽門鐵克表示，一旦他們站穩腳跟，LockFile 團伙就會使用 PetitPotam漏洞來接管域控制器，從而接管Windows域。
關于LockFile勒索軟件
目前，關于新的LockFile勒索軟件操作還不太清楚。
今年7月首次看到這封勒索信時，它的名字是“LOCKFILE-README”。Hta ，但沒有任何特定的品牌，如下所示。
從上周開始，BleepingComputer開始收到勒索軟件團伙的報告，該團伙使用帶有標記的勒索筆記，表明它們被稱為“LockFile”，如下所示。
這些贖金票據使用“[victim_name]-LOCKFILE-README.hta”的命名格式，并提示受害者通過Tox或電子郵件與他們聯系以協商贖金。該操作使用的當前電子郵件地址是contact@contipauper.com，這似乎參考了Conti勒索軟件的操作。當加密文件時，勒索軟件將附加.lockfile擴展名到加密文件的名稱。
超過30,400臺Exchange服務器易受攻擊
盡管微軟在今年5月和7月修補了這三個漏洞。但就像今年3月和4月披露的 ProxyLogon和ProxyOracle一樣，并非所有服務器管理員都及時修補易受攻擊的系統。
在ProxyShell概念驗證代碼發布兩天后，ISC SANS于8月8日進行一次掃描，發現總共 100,000個系統中的30,400多臺Exchange服務器尚未修補，并且仍然容易受到攻擊。
盡快打補丁
由于LockFile操作同時使用Microsoft Exchange ProxyShell漏洞和Windows PetitPotam NTLM Relay漏洞，因此Windows管理員必須安裝最新的更新。
對于ProxyShell漏洞，您可以安裝最新的Microsoft Exchange累積更新來修補該漏洞。
要修補PetitPotam攻擊，你可以使用一個非官方的補丁從0patch來阻止這個NTLM中繼攻擊向量，或者應用NETSH RPC過濾器來阻止對MS-EFSRPC API中脆弱函數的訪問。
Beaumont表示可以執行以下Azure Sentinel查詢來檢查Microsoft Exchange服務器是否已掃描ProxyShell漏洞。
W3CIISLog
| where csUriStem == "/autodiscover/autodiscover.json"
| where csUriQuery has "PowerShell" | where csMethod == "POST"
強烈建議所有組織盡快應用補丁并為其Exchange服務器創建脫機備份。
啟示
美國國家標準與技術局(NIST)、國家漏洞數據庫(NVD)數據顯示，90%以上的網絡安全問題是由軟件自身的安全漏洞被利用導致，由此可見軟件中漏洞為網絡安全帶來極大危害。從以上可以看出，盡管軟件開發公司已針對漏洞及時發布補丁，但未進行修正的企業仍舊大量存在，網絡安全與漏洞之間存在一場較量，謹慎預防網絡攻擊的公司成為最后贏家。隨著敏捷開發盛行軟件開發周期逐漸縮短，面對潛藏的網絡攻擊者和惡意軟件，軟件安全需置于開發首位。調查顯示，超過六成的安全漏洞與代碼有關，而通過靜態代碼檢測可以減少30-70%的安全漏洞，結合SCA、動態應用安全測試等方式，在軟件開發期間確保軟件安全，不但為網絡安全打好基礎，也將企業修復漏洞成本降至最低。
參讀鏈接：
文章版權歸作者所有，未經允許請勿轉載,若此文章存在違規行為，您可以聯系管理員刪除。
轉載請注明本文地址：http://m.specialneedsforspecialkids.com/yun/118542.html
