Предупреждение: неисправленный Microsoft Exchange Zero-Day находится в активной эксплуатации

Обнаруженные недостатки официально подтверждены представителями Microsoft, специалисты которой работают над разрешением проблемы

Вьетнамская компания по кибербезопасности GTSC обнаружила недостатки в якобы исправленных серверах Microsoft Exchange. Но стало известно, что злоумышленники используют эти недочеты в реальных атаках для удаленного выполнения кода в уязвимых системах, сообщил the Hacker News 30 сентября 2022 года.

Группа исследователей GTSC приложила определенные усилия в процесс мониторинга безопасности серверов Microsoft Exchange еще в августе 2022 года. Были обнаружены уязвимости, хотя до сих пор им не присвоили официального идентификатора CVE. Однако то, с чем работают исследователи, соответствует оценкам CVE 8,8 и 6,3 единицы.

GTSC заявила, что использование уязвимостей может привести к закреплению в системах жертвы, а значит, злоумышленники смогут «сбросить» веб-оболочку, чтобы выполнять «боковые перемещения» по скомпрометированной сети, получая контроль над удаленными системами. Обнаруженные веб-оболочки характеризуются как запутанные, они попадают на серверы Exchange, а затем посредством китайского инструмента администрирования веб-сайтов с открытым исходным кодом Antsword, хакеры получают контроль над системой.

GTSC уже исправляли целевые серверы, но вновь столкнулись с запросами на эксплуатацию в журналах IIS в формате, соответствующем уязвимостям ProxyShell Exchange Server. Компания по кибербезопасности предполагают, что атаки исходят от китайской хакерской группы, учитывая инструментарий и факт того, что кодировка веб-шелла отображается на упрощенном китайском языке (кодовая страница Windows 936).

Ранее «LinDeal.com» рассказал о том, что хакеры используют вредоносный протокол авторизации OAuth для контроля почтовых серверов.