惡意 IIS 擴展在網絡犯罪分子中越來越流行以實現持久訪問
一顆小胡椒2022-07-27 16:51:30
威脅行為者越來越多地濫用 Internet 信息服務 ( IIS ) 對后門服務器的擴展，以此作為建立“持久性機制”的一種手段。
這是根據 Microsoft 365 Defender 研究團隊的新警告，該團隊表示“IIS 后門也更難檢測，因為它們大多與目標應用程序使用的合法模塊位于相同的目錄中，并且它們遵循與 clean 相同的代碼結構模塊。”
采用這種方法的攻擊鏈首先將托管應用程序中的一個關鍵漏洞武器化以進行初始訪問，使用此立足點將腳本 Web shell 作為第一階段的有效負載。
然后，此 Web shell 成為安裝流氓 IIS 模塊的管道，以提供對服務器的高度隱蔽和持久的訪問，此外還監控傳入和傳出請求以及運行遠程命令。
事實上，本月早些時候，卡巴斯基研究人員披露了 Gelsemium 小組開展的一項活動，該活動被發現利用 ProxyLogon Exchange Server 漏洞啟動了一款名為SessionManager的 IIS 惡意軟件。
在這家科技巨頭在 2022 年 1 月至 2022 年 5 月期間觀察到的另一組攻擊中，Exchange 服務器通過利用ProxyShell漏洞成為 Web Shell 的目標，最終導致部署了一個名為“FinanceSvcModel.dll”的后門，但沒有在一段偵察之前。
“后門具有執行 Exchange 管理操作的內置功能，例如枚舉已安裝的郵箱帳戶和導出郵箱以進行滲透，”安全研究員 Hardik Suri 解釋說。
為緩解此類攻擊，建議盡快為服務器組件應用最新的安全更新，保持防病毒和其他保護處于啟用狀態，檢查敏感角色和組，并通過實踐最小權限原則和保持良好的憑證衛生來限制訪問.
一顆小胡椒
暫無描述