Sebbene Microsoft non abbia ancora risolto le vulnerabilità zero-day di ProxyNotShell rilevate in Exchange il mese scorso, la società sta ora esaminando un nuovo report relativo ad una nuova vulnerabilità zero-day utilizzata per compromettere i server di Exchange.
Gli hacker (si tratta di affiliati) stanno sfruttando questo bug per distribuire il ransomware LockBit.
La società sudcoreana AhnLab ha avvertito dell’uso di un’altra vulnerabilità 0day da parte degli hacker. I ricercatori riferiscono di essere a conoscenza di almeno un incidente verificatosi nel luglio 2022, quando gli aggressori hanno utilizzato una webshell precedentemente distribuita su un server Exchange per elevare i privilegi al livello di amministratore di Active Directory, rubare 1,3 TB di dati e crittografare i sistemi aziendali delle vittime.
 Avvio delle iscrizioni al corso Cyber Offensive Fundamentals Vuoi smettere di guardare tutorial e iniziare a capire davvero come funziona la sicurezza informatica? La base della sicurezza informatica, al di là di norme e tecnologie, ha sempre un unico obiettivo: fermare gli attacchi dei criminali informatici. Pertanto "Pensa come un attaccante, agisci come un difensore". Ti porteremo nel mondo dell'ethical hacking e del penetration test come nessuno ha mai fatto prima. Per informazioni potete accedere alla pagina del corso oppure contattarci tramite WhatsApp al numero 379 163 8765 oppure scrivendoci alla casella di posta [email protected].
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Gli esperti che hanno indagato sull’incidente scrivono che gli aggressori hanno impiegato una settimana per acquisire l’account dell’amministratore di Active Directory. Allo stesso tempo, il server Exchange sembra essere stato compromesso utilizzando una sorta di “vulnerabilità zero-day non divulgata”, sebbene la società vittima abbia ricevuto supporto tecnico da Microsoft e abbia installato regolarmente aggiornamenti di sicurezza dopo un’altra compromissione avvenuta a dicembre 2021.
“Tra le vulnerabilità divulgate dopo il maggio di quest’anno, non ci sono state segnalazioni di vulnerabilità legate all’esecuzione di remote code execution o creazione di file”, spiegano gli esperti. “Quindi, dato che la web shell è stata creata il 21 luglio, sembra che gli aggressori abbiano sfruttato una vulnerabilità zero-day non divulgata”.
Allo stesso tempo, AhnLab non è sicuro che i criminali non abbiano sfruttato le già citate vulnerabilità di ProxyNotShell, sebbene le tattiche di attacco fossero completamente diverse.
“Forse, le vulnerabilità in Microsoft Exchange Server (CVE-2022-41040, CVE-2022-41082) scoperte dalla società vietnamita di sicurezza delle informazioni GTSC il 28 settembre sono state utilizzate in questo caso, ma il metodo di attacco, il nome del file della web shell creata e gli attacchi successivi effettuati dopo la creazione, non corrispondono a tali vulnerabilità. Riteniamo che altri aggressori abbiano sfruttato una diversa vulnerabilità zero-day”, affermano i ricercatori.
Sebbene gli esperti di AhnLab non siano completamente sicuri, vale la pena notare che gli specialisti della sicurezza delle informazioni sono a conoscenza di almeno altre tre vulnerabilità non divulgate in Exchange.
Quindi, il mese scorso, gli esperti della Zero Day Initiative hanno detto a Microsoft di aver scoperto tre problemi in Exchange contemporaneamente, che sono stati tracciati con gli identificativi ZDI-CAN-18881 , ZDI-CAN-18882 e ZDI-CAN-18932. In seguito, all’inizio di ottobre, Trend Micro ha aggiunto le firme per tre vulnerabilità zero-day critiche di Microsoft Exchange ai suoi prodotti di sicurezza N-Platform, NX-Platform o TPS.
Finora, Microsoft non ha divulgato alcuna informazione su questi tre bug e non sono stati ancora assegnate le relative CVE.
Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.
Cultura
Cybercrime
Cyber Italia
Vulnerabilità
Cultura